Datenschutz im Personalwesen / 2.2.5 Datenverarbeitung im Rahmen des Whistleblower-Schutzes

Am 31.5.2023 hat der Bundestag mit Zustimmung des Bundesrats das Gesetz für einen besseren Schutz hinweisgebender Personen sowie zur Umsetzung der Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden (Hinweisgeberschutzgesetz – HinSchG) verabschiedet. Das Gesetz ist am 2.7.2023 in Kraft getreten. Ziel des Gesetzes ist eine Erweiterung des Schutzes von Hinweisgeberinnen und Hinweisgebern ("Whistelblowern") im beruflichen Umfeld.

Vor diesem Hintergrund schafft das Gesetz konkrete Vorgaben für die Einrichtung von internen und externen Meldestellen sowie den Umgang mit eingehenden Hinweisen. Hierbei ist der Anwendungsbereich des Gesetzes nach § 2 Abs. 1 HinSchG sachlich auf Informationen zu bestimmten Verstößen beschränkt, wobei Hinweisgeber zu bestimmten Bagatell-Verstößen (z. B. gegen die Kleiderordnung eines Unternehmens) u. U. nicht geschützt sind. Verpflichtete nach dem Gesetzesentwurf sind Unternehmen und öffentliche Stellen mit mehr als 50 Mitarbeitenden.^[1] Sofern die Vorgaben des Gesetzes nicht eingehalten werden, drohen hohe Bußgelder von bis zu 50.000 EUR.^[2]

Rechtsgrundlage für Datenverarbeitung von Mitarbeiterdaten

In der Praxis bedeutet die Umsetzung des Gesetzes für Unternehmen, dass sie vielfach personenbezogene Daten ihrer Beschäftigten und der Hinweisgeber verarbeiten müssen. Dies können personenbezogene Daten über die Beschuldigten oder über weitere am Sachverhalt beteiligte Betroffene sein, ebenso wie Daten zum Hinweisgeber selbst, z. B. sein Name und seine Kontaktdaten. Weitere personenbezogene Daten können sich auch aus der Sachverhaltsdarstellung ergeben. In dieser Hinsicht will der Gesetzgeber Klarheit schaffen, indem er mit Art. 6 Abs. 1 Buchst. c DSGVO i. V. m. § 10 HinSchG eine spezifische Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch interne und externe Meldestellen schafft. Demgemäß sind die Meldestellen zur Verarbeitung von Daten befugt, soweit dies zur Erfüllung ihrer gesetzlichen Aufgaben erforderlich ist. Dies gilt auch für besondere Kategorien personenbezogener Daten. Der Aufgabenbereich der Meldestellen umfasst insbesondere die Prüfung der Stichhaltigkeit von Meldungen und gegebenenfalls die Ergreifung von Folgemaßnahmen. Allerdings muss die Meldestelle spezifische und angemessene Maßnahmen ergreifen, um die Interessen der betroffenen Person zu wahren.

Weitergabe an Dritte

Meldestellen sind nach § 8 Abs. 1 HinSchG grundsätzlich zur Wahrung der Vertraulichkeit der Identität des Hinweisgebers sowie aller weiteren in der Meldung genannten Personen verpflichtet. Das gilt selbst dann, wenn die Stelle für die eingehende Meldung überhaupt nicht zuständig ist.^[3] Lediglich ein sehr beschränkter Personenkreis darf überhaupt Kenntnis von der Identität der betroffenen Personen haben, wie z. B. die mit der Entgegennahme von Meldungen und der Ergreifung von Folgemaßnahmen betrauten Personen. Der Gesetzgeber hat jedoch in § 9 HinSchG bestimmte Ausnahmen vom Vertraulichkeitsgebot vorgesehen. So kann der Identitätsschutz des Hinweisgebers entfallen, wenn er vorsätzlich oder grob fahrlässig unrichtige Informationen über Verstöße meldet.^[4] Darüber hinaus ist die Meldestelle auf Verlangen der Strafverfolgungsbehörden im Strafverfahren, des Bundeskartellamts oder der Bundesanstalt für Finanzdienstleistungsaufsicht sowie aufgrund einer Anordnung in einem der Meldung nachfolgenden Verwaltungsverfahren oder aufgrund einer gerichtlichen Entscheidung zur Weitergabe der Identität oder Umstände, die Rückschlüsse auf die Identität des Hinweisgebers zulassen, verpflichtet.

Transparenz

Durch das HinSchG entsteht ein Spannungsverhältnis zwischen der datenschutzrechtlich geforderten Transparenz und dem Schutz der Identität des Whistleblowers. Hier ergeben sich insbesondere Probleme im Bereich der Art. 14 und 15 DSGVO, gemäß derer der Betroffene grundsätzlich spätestens innerhalb eines Monats Auskunft oder Information erhalten soll. Im Konfliktfall ist eine Interessenabwägung vorzunehmen, um den Hinweisgeber und die Persönlichkeitsrechte sonstiger Beteiligter bestmöglich zu schützen und gleichzeitig dem Auskunftsverlangen bestmöglich nachzukommen.^[5] In diese Interessenabwägung kann z. B. einfließen, ob die hinweisgebende Person vorsätzlich oder grob fahrlässig unrichtige Informationen über Verstöße meldet, da sie dann gemäß § 9 Abs. 1 HinSchG nicht schutzwürdig ist oder ob das Auskunftsersuchen missbräuchlich verwendet wird. Meldestellen können ein Auskunftsverlangen jedoch auch unter Berufung auf § 29 Abs. 1 Satz 2 BDSG ablehnen. Demnach können Auskunftsverlangen abgewiesen werden, wenn dadurch "Informationen offenbar würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen". Genau eine solche Geheimhaltungspflicht statuiert das Vertraulichkeitsgebot des HinSchG. Sofern das Auskunftsverlangen abgelehnt wird, besteht eine Darlegungspflicht der Meldestelle.

Dan...