Datenschutzhinweise für die Nutzung des SPEAK UP Hinweisgebersystems

Das Hinweisgebersystem dient dazu, Meldungen zu mutmaßlichen Gesetzesverstößen der Verantwortlichen („Meldungen“) entgegenzunehmen, zu bearbeiten und zu verwalten.

In diesem Abschnitt erläutern wir dir, wie die Verantwortliche deine personenbezogenen Daten im Zusammenhang mit dem Hinweisgebersystem und zu welchen Zwecken verarbeitet.

Die Nutzung des Hinweisgebersystems ist freiwillig. Wenn der Meldende eine Meldung über das Hinweisgebersystem abgibt, verarbeitet die Verantwortliche folgende personenbezogene Daten:

• Name, Telefonnummer, E-Mail-Adresse, wenn der Meldende nicht anonym bleiben möchte („Identifikationsdaten“)
• Ob der Meldende Mitarbeiter der Verantwortlichen ist oder nicht
• Zeitpunkt der Meldung und genutzter Kommunikationskanal
• Inhalt der Meldung
• Ort, an dem der der Meldung zugrunde liegende Sachverhalt erfolgte
• Zeitpunkt des der Meldung zugrunde liegenden Sachverhalts
• Informationen über den Verfahrensablauf
• Informationen aus der Ermittlung des Sachverhalts

(„Meldungsdaten“)

Die Angabe der Identifikationsdaten des Meldenden in der Meldung erfolgt freiwillig. Der Meldende kann die Meldung auch anonym abgeben.

Die Verantwortliche verarbeitet die Meldungsdaten insbesondere für die Aufklärung der Meldung, die Unterstützung der Behörden bei der Aufklärung von Ordnungswidrigkeiten oder Straftaten, die Umsetzung von erforderlichen Folgemaßnahmen, die Verhinderung zukünftigen Fehlverhaltens und die Abwendung von Schaden von der Verantwortlichen.

Weiterhin fließen die Ergebnisse der Folgemaßnahmen, die auf Meldungsdaten basieren, soweit sie dafür geeignet sind und ohne den Meldenden oder die in der Meldung genannten Personen zu identifizieren, auch in allgemeine, präventive Compliance-Maßnahmen (z.B. Schulungen) ein und tragen so dazu bei, dass künftige arbeitsvertragliche Pflichtverletzungen oder Ordnungswidrigkeiten und Straftaten von Mitarbeitern verhindert oder erschwert werden.

Die Verantwortliche verarbeitet die Meldungsdaten, um das Hinweisgeberverfahren durchführen und verwalten zu können, die Meldung aufzuklären, Behörden bei der Aufklärung von Ordnungswidrigkeiten oder Straftaten zu unterstützen, künftiges Fehlverhalten zu verhindern und Schaden von der Verantwortlichen abzuwenden.

Rechtsgrundlage für die Verarbeitung der Meldungsdaten ist

• die Erfüllung der rechtlichen Pflicht zur Bereitstellung eines Hinweisgebersystems (Art. 6 Abs. 1 lit. c DSGVO i.V.m. §§ 10, 12 HinSchG) und Durchführung des Hinweisgeberverfahrens (Art. 6 Abs. 1 lit. c DSGVO i.V.m. §§ 10, 13 ff. HinSchG);
• das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) der Verantwortlichen an der Aufklärung der Meldung, der Unterstützung der Behörden bei der Aufklärung von Ordnungswidrigkeiten oder Straftaten, der Umsetzung von erforderlichen Folgemaßnahmen, der Verhinderung zukünftigen Fehlverhaltens und der Abwendung von Schaden von der Verantwortlichen (§§ 30, 130 OWiG);
• die Erforderlichkeit für die Erfüllung der Aufgaben der Verantwortlichkeiten nach dem Hinweisgeberschutzgesetz bei besonderen Kategorien personenbezogener Daten (§ 10 Abs. 2 HinSchG); und
• die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) des Meldenden für die Verarbeitung von Identifikationsdaten zur Durchführung des Hinweisgeberverfahrens, Bearbeitung der Meldung und Kontaktaufnahme mit dem Meldenden. Die Verantwortliche wird die Identität des Meldenden vertraulich behandeln und sie nur entsprechend der gesetzlichen Vorgaben (insbesondere §§ 8, 9 HinSchG), z.B. an Gerichte oder Behörden, weitergeben. Die Verantwortliche wird die in der Meldung genannte Person über die Meldung datenschutzrechtlich informieren, jedoch die Identität des Meldenden nicht mitteilen, soweit dies rechtlich zulässig ist. Der Meldende kann die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die Widerrufsmöglichkeit kann jedoch ausgeschlossen sein, wenn die Verantwortliche, soweit rechtlich erforderlich, die Identität des Meldenden bereits der in der Meldung genannten Person (in der an diese Person innerhalb eines Monats erforderlichen Datenschutzinformation), einem Gericht oder einer Behörde mitteilen musste.

Die Verantwortliche verarbeitet die Meldungsdaten nur so lange, wie es erforderlich ist, um Meldungen zu prüfen, ihnen nachzugehen und Folgemaßnahmen einzuleiten, dies zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist oder der Meldende die Einwilligung widerrufen hat. Darüber hinaus speichert die Verantwortliche diese personenbezogenen Daten nur noch zur Erfüllung etwaiger gesetzlicher Aufbewahrungspflichten (insbesondere nach § 11 Abs. 5 HinSchG) oder, im erforderlichen und rechtlich zulässigen Umfang, zur Geltendmachung von oder Verteidigung gegen rechtliche Ansprüche.

Mithilfe der Fall-ID und selbstgewähltem Passwort hat der Meldende Zugang auf seine Meldung und kann neue Nachrichten und/oder Statusmeldungen hierzu abrufen. Die verarbeiteten personenbezogenen Daten sind:

• Fall-ID
• Passwort
• IP-Adresse

(„Nutzungsdaten“)

Die Verantwortliche verarbeitet die Nutzungsdaten um Ihnen den Zugriff auf und die Nutzung des Hinweisgebersystems zu ermöglichen.

Rechtsgrundlage für die Verarbeitung der Nutzungsdaten ist die Durchführung eines vertragsähnlichen Verhältnisses mit dem Meldenden in Form der auf Veranlassung des Meldenden ermöglichten Nutzung des Hinweisgebersystems (Art. 6 Abs. 1 lit. b DSGVO).

Die Verantwortliche verarbeitet die Nutzungsdaten des Meldenden so lange, wie dies erforderlich ist, um dem Meldenden die Nutzung des Hinweisgebersystems zu ermöglichen. Darüber hinaus speichert die Verantwortliche diese personenbezogenen Daten nur noch zur Erfüllung etwaiger gesetzlicher Aufbewahrungspflichten oder, im erforderlichen und rechtlich zulässigen Umfang, zur Geltendmachung von oder Verteidigung gegen rechtliche Ansprüche.

Die Verantwortliche verarbeitet aggregierte, also zusammengefasste Daten in Bezug auf die Nutzung des Hinweisgebersystems durch Meldende. Hierzu gehören folgende personenbezogene Daten:

• Anzahl der Meldungen insgesamt und solcher Meldungen, die noch bearbeitet werden
• Durchschnittliche Bearbeitungszeit
• Prozentuale Auswertungen zur anonymen Einreichung von Meldungen, zur Art und Schwere der gemeldeten Verstöße, zur Substantiierung der Meldungen, zum Meldekanal, zum Abschluss der Meldeverfahren und zu den betroffenen Ländern

(„Auswertungsdaten“)

Die Verantwortliche verarbeitet die Auswertungsdaten, um betriebliche Auswertungen zur Nutzung des Hinweisgebersystems durchzuführen und zu verwalten, Trends bei der Nutzung des Hinweisgebersystems zu ermitteln und das Hinweisgebersystem weiterzuentwickeln.

Rechtsgrundlage für die Verarbeitung der Auswertungsdaten ist das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) daran, die Nutzung und Effektivität des Hinweisgebersystems festzustellen.

Die Verantwortliche verarbeitet die Auswertungsdaten so lange, wie dies zur Auswertung der Nutzung des Hinweisgebersystems erforderlich ist. Darüber hinaus speichert die Verantwortliche diese personenbezogenen Daten nur noch zur Erfüllung etwaiger gesetzlicher Aufbewahrungspflichten oder, im erforderlichen und rechtlich zulässigen Umfang, zur Geltendmachung von oder Verteidigung gegen rechtliche Ansprüche.

Die Verantwortliche verarbeitet personenbezogene Daten des Meldenden zum Zweck der IT-Administration und Fehlerbehebung. Dabei verarbeitet die Verantwortliche folgende personenbezogenen Daten:

• Fall-ID
• Nutzungsdaten
• Auswertungsdaten
• Daten zur Diagnose von Fehlern
• Daten zur Netzwerkverbindung
• Weitere Daten, die die Verantwortliche auf Grundlage der vorstehend genannten Daten berechnet, erstellt oder anderweitig erhebt

(„Diagnosedaten“)

Die Verantwortliche verarbeitet die Diagnosedaten zum Zweck der IT-Administration und Fehlerbehebung.

Die Verantwortliche speichert die Diagnosedaten so lange, wie dies für die IT-Administration und Fehlerbehebung erforderlich ist. Darüber hinaus speichert die Verantwortliche diese personenbezogenen Daten nur noch zur Erfüllung etwaiger gesetzlicher Aufbewahrungspflichten oder, im erforderlichen und rechtlich zulässigen Umfang, zur Geltendmachung von oder Verteidigung gegen rechtliche Ansprüche.

Die Verantwortliche arbeitet bei den in diesen Datenschutzhinweisen beschriebenen Datenverarbeitungen zum Teil mit anderen Unternehmen zusammen. Diese Unternehmen sind Auftragsverarbeiter oder andere Verantwortliche. Nachfolgend findest du weitere Informationen über Datenempfänger:

Die Verantwortliche setzt Auftragsverarbeiter ein, die die personenbezogenen Daten des Meldenden strikt auf Basis ihrer Weisungen verarbeiten. Die Verantwortliche hat diese Auftragsverarbeiter sorgfältig ausgewählt und Auftragsverarbeitungsvereinbarungen mit ihnen abgeschlossen. Sofern diese Auftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums (EWR) ansässig sind, gilt zusätzlich Abschnitt D.IV. unten.

In bestimmten Fällen übermittelt die Verantwortliche die personenbezogenen Daten des Meldenden an andere Verantwortliche, die die personenbezogenen Daten des Meldenden nicht nach Weisung der Verantwortlichen, sondern für ihre eigenen Zwecke verarbeiten. Diese anderen Verantwortlichen dürfen die so übermittelten personenbezogenen Daten ausschließlich zu dem Zweck verwenden, für den die Verantwortliche sie übermittelt hat. Die erforderliche Übermittlung der personenbezogenen Daten des Meldenden erfolgt insbesondere an andere Unternehmen aus der XXXLutz-Unternehmensgruppe zur Bearbeitung der Meldung oder Untersuchung, z.B. wenn die Meldung mehrere Unternehmen aus der XXXLutz-Unternehmensgruppe betrifft. Rechtsgrundlage ist das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO), die Meldungen effizient zu bearbeiten. Die Verantwortliche übermittelt die personenbezogenen Daten des Meldenden auch an andere Unternehmen der XXXLutz-Unternehmensgruppe, wenn die Übermittlung z. B. für gruppeninterne Organisationsauswertungen oder zur Kommunikation zwischen den Unternehmen erforderlich ist. Eine solche Übermittlung erfolgt auf der Grundlage des berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), das in gruppeninternen Zuständigkeiten für Auswertungen und Kommunikation besteht. Wenn die Meldung kein XXXLutz-Unternehmen in Deutschland, sondern in einem anderen Land betrifft, dann übermittelt die Verantwortliche Ihre Meldung an das in diesem Land zuständige XXXLutz-Unternehmen, das die Meldung dann weiter als Verantwortliche bearbeitet. Sofern diese anderen Verantwortlichen außerhalb des EWR ansässig sind, gilt zusätzlich Abschnitt D.IV. unten.

Die Verantwortliche übermittelt deine personenbezogenen Daten ansonsten nur an andere Verantwortliche, wenn und soweit dies gesetzlich vorgeschrieben ist (z. B. an Strafverfolgungsbehörden, Kartellbehörden, sonstige Verwaltungsbehörden oder Gerichte), um Rechtsansprüche durchzusetzen oder um vermutete oder tatsächlich rechtswidrige Sachverhalte zu untersuchen oder zu verhindern (z. B. durch die Übermittlung an Rechtsanwälte oder Wirtschaftsprüfungsgesellschaften). In diesen Fällen informiert dich die Verantwortliche über die jeweilige Übermittlung gesondert, wenn und soweit dies rechtlich erforderlich ist.

Sofern die Verantwortliche deine personenbezogenen Daten an Auftragsverarbeiter oder andere Verantwortliche in Länder außerhalb des EWR übermittelt (zum Beispiel in die USA), erfolgt die Übermittlung auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission für das Empfängerland oder der gesetzlich geforderten Standards und Sicherungsmechanismen (z. B. durch Vereinbarung der sogenannten EU-Standardverträge). Bitte kontaktiere die Verantwortliche, um mehr über die konkret von uns genutzten Sicherheitsmechanismen zu erfahren.

Wenn die Verantwortliche deine personenbezogenen Daten verarbeitet, bist du eine betroffene Person im Sinne der DSGVO. Damit stehen dir gegenüber der Verantwortlichen die nachfolgend aufgezählten Rechte zu, sofern die gesetzlichen Voraussetzungen vorliegen. Um deine Rechte geltend zu machen, kannst du dich per Post oder E-Mail direkt an die Verantwortliche wenden.

Du kannst von der Verantwortlichen eine Bestätigung darüber verlangen, ob sie personenbezogene Daten verarbeitet, die dich betreffen. Ist dies der Fall, hast du das Recht auf Auskunft über diese personenbezogenen Daten sowie auf weitere Informationen, z. B. über die Verarbeitungszwecke, die Empfänger und die geplante Dauer der Speicherung bzw. die Kriterien für die Festlegung der Dauer.

Du hast ein Recht auf Berichtigung und/oder Vervollständigung deiner personenbezogenen Daten, sofern diese unrichtig oder unvollständig sind.

Du kannst die Einschränkung der Verarbeitung der dich betreffenden personenbezogenen Daten verlangen.

Du kannst von der Verantwortlichen verlangen, dass sie die dich betreffenden personenbezogenen Daten löscht, sofern keine Ausnahme, zum Beispiel gesetzliche Aufbewahrungspflichten, entgegensteht.

Du hast das Recht, die dich betreffenden personenbezogenen Daten, die du der Verantwortlichen bereitgestellt hast, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.

Du hast das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, der Verarbeitung der dich betreffenden personenbezogenen Daten zu widersprechen. Verarbeitet die Verantwortliche die dich betreffenden personenbezogenen Daten für Direktwerbung, hast du jederzeit und ohne weitere Begründung das Recht, dieser Verarbeitung zu widersprechen.

Du hast das Recht, von dir erteilte Einwilligungen jederzeit zu widerrufen. Auch wenn du deine Einwilligung widerrufst, bleibt die Verarbeitung, die aufgrund deiner Einwilligung vor dem Widerruf stattgefunden hat, rechtmäßig.

Du hast das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die dir gegenüber rechtliche Wirkung entfaltet oder dich in ähnlicher Weise erheblich beeinträchtigt.

Du hast das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren, wenn du der Ansicht bist, dass die Verarbeitung der dich betreffenden personenbezogenen Daten durch die Verantwortliche gegen die DSGVO verstößt.