Die externe Besetzung („Ombudsmann“) einer internen Meldestelle bietet eine Reihe von Vorteilen. Neben Haftungsprivilegien und Vorteilen bei der gerichtlichen Beweisführung können auch Sonderstellungen hinsichtlich der Weisungsgebundenheit von Arbeitnehmenden in Organisationen vermieden werden, welche wiederum arbeitsrechtliche Herausforderungen darstellen.
Datenschutzrechtliche Informationen sind essentiell für Betroffene, um ihre Rechte wahrnehmen zu können. Regelmäßig können diese mit überschaubarem Aufwand entsprechend Art. 13 DSGVO an die Betroffenen übermittelt werden, sofern sie direkt informiert werden können. Zusätzlich könnten im Rahmen einer Meldung jedoch auch Informationen über Dritte zutage kommen, die gem. Art. 14 DSGVO informiert werden könnten. Werden die Informationen darüber hinaus zeitgleich oder nacheinander noch von Dritten erhoben, stellen sich gelegentlich Fragen, wer über welche Datenvorgänge zu informieren hat.
Eine solche Konstellation findet sich auch bei der externen Besetzung einer Meldestelle.
Welche Pflichten die Meldestelle betreffen
Je nachdem, wie der Meldekanal mithilfe eines Dienstleisters eingerichtet wird, übernimmt der Dienstleister bspw. Pflichten eines Auftragsverarbeiters oder eines unabhängigen Verantwortlichen. Als datenschutzrechtlich Verantwortlicher kommen der Verantwortlichen Person für den Betrieb der Meldestelle eigene Informationspflichten zu.
Sobald eine Meldung bei einer Meldestelle eingeht, muss diese bearbeitet werden. Für die Bearbeitung, Dokumentation und die eventuelle Ergreifung von Folgemaßnahmen werden Daten von Personen verarbeitet, die Gegenstand der Meldung sind.
Hierbei können jedoch auch Interessenkonflikte entstehen. Eine uneingeschränkte Durchführung von Betroffeneninformationen könnte so in den schlimmsten Fällen Gefahren für Hinweisgebende oder anderweitig involvierte Personen darstellen.
Oberste Regel bei der Bearbeitung von Meldungen ist die Vertraulichkeit, um die Wirksamkeit von Folgemaßnahmen zu gewährleisten. Erwägungsgrund 85 der Richtlinie (EU) 2019/1937 des europäischen Parlaments und des Rates vom 23. Oktober 2019 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden (HinSch-Richtlinie) sieht daher die Einschränkung der Ausübung bestimmter Datenschutzrechte von Betroffenen durch gesetzgeberische Maßnahmen vor, die sich aus der DSGVO ableiten, „soweit und solange dies notwendig ist, um Versuche, Meldungen zu behindern, Folgemaßnahmen – insbesondere Untersuchungen – zu verhindern, zu unterlaufen oder zu verschleppen oder Versuche, die Identität der Hinweisgeber festzustellen, zu verhüten und zu unterbinden.“
Das Vertraulichkeitsgebot aus Art. 16 HinSch-Richtlinie, wurde durch § 8 HinSchG in deutsches Recht umgesetzt. Ausnahmetatbestände sind u. a. durch das BDSG geschaffen. Daraus entsteht eine Reihe von Ausnahmen für die Offenlegung von Informationen.
Relevante Ausnahmen
Dem Vertraulichkeitsgebot unterliegende Informationen sind entsprechend § 29 Abs. 1 BDSG grundsätzlich geheim zu halten und dürfen durch den datenschutzrechtlichen Verantwortlichen nicht gegenüber den Betroffenen offengelegt werden. Auf diese Weise kann das Auskunftsrecht von Betroffenen gem. Art. 15 DSGVO entsprechend Art. 23 Abs. 1 lit. d, i DSGVO eingeschränkt sein. Entscheidend ist hier das Ergebnis einer jeweiligen Interessenabwägung zwischen Vertraulichkeitsschutz und datenschutzrechtlichen Informationspflichten.
Im Meldeverfahren ergeben sich grundsätzlich drei zu differenzierende Kategorien von Betroffenen: Hinweisgebende, Beschuldigte und anderweitig genannte Personen.
Hinweisgebende:
Da die hinweisgebende Person selbst die relevanten Informationen einbringt, muss eine Information grundsätzlich im Rahmen der internen oder externen Kommunikation des Meldekanals der jeweiligen Organisation erfolgen. Ist der Meldekanal bei einem Dienstleister eingerichtet (Ombudsperson oder Meldeplattform), hat der Dienstleister seinerseits über die Datenverarbeitung zu informieren. Die Datenschutzinformationen können dann bspw. auf der Seite des Webformulars hinterlegt werden.
Beschuldigte:
Beschuldigte sollten erst einmal nicht über Hinweise oder damit einhergehende Ermittlungen informiert werden. Hier ist regelmäßig von einem Überwiegen des Ermittlungsinteresses gegenüber dem Informationsinteresse auszugehen. Die Ausnahme von der Informationspflicht ergibt sich u. a. aus Art. 14 Abs. 5 lit. b DSGVO & § 29 Abs. 1 S. 1 BDSG. Auch die DSK ging in Ihrer Stellungnahme aus 2018, Abschnitt E4 von einer Einschränkung der Informationspflichten aus. Besonders die Identität der hinweisgebenden Person dürfte hier nicht offengelegt werden, § 8 Abs. 1 Satz 2 HinSchG. Es ist zu beachten, dass das Ergebnis der zugrundeliegenden Interessenabwägung überwacht werden muss. Sobald die Ermittlungen durch die Informationen nicht mehr beeinträchtigt werden können, ist die Information nachzuholen.
Anderweitig genannte Personen:
Auch hier sind Ermittlungsinteresse und Informationsinteresse in Einklang zu bringen. Geht aus der Meldung deutlich hervor, dass die Information anderweitig genannter Personen über die Meldung keine Beeinträchtigung der Ermittlungen darstellt, muss die Information erbracht werden. In der Praxis ist im Einzelfall zu entscheiden, ob die genannte Person mit dieser Information die Ermittlungen beeinträchtigen kann, wenn sie z. B. mit dem Beschuldigten zusammenwirken könnte.
Fazit
Die Vertraulichkeit der Meldung sowie das Ermittlungsinteresse stehen im Vordergrund. Hinweisgebende dürfen durch die Abgabe einer Meldung keinen Risiken oder Sanktionen ausgesetzt werden. Die Information der Beschuldigten würde dies regelmäßig konterkarieren. Auch die Information von anderweitig genannten Personen kann jedoch ein Risiko darstellen, das im Einzelfall zu einzuschätzen ist. Sobald die Ermittlungen durch eine Auskunft nicht mehr beeinträchtigt werden, ist die jeweilige Information nachzuholen.
Bei Interesse an unseren Dienstleistungen im Bereich Whistleblowing & Compliance finden Sie weitere Informationen auf unserer Webseite. Sie können uns gerne eine Anfrage über unser Kontaktformular zukommen lassen.