Informationen zum Datenschutz für die Nutzung der internen Meldestelle der Epikur Software & GmbH Co. KG

 

1. Warum erhalten Sie diese Informationen?

Die Epikur Software & GmbH Co. KG hat eine sogenannte interne Meldestelle eingerichtet, um Mitarbeitern und Externen die Meldung von Verstößen gegen nationales und europäisches Recht zu ermöglichen. So soll die Aufdeckung und Unterbindung von Rechtsverstößen forciert sowie die Compliance vorangetrieben werden.

Bei der Nutzung der internen Meldestelle bleibt es nicht aus, dass Ihre personenbezogenen Daten verarbeitet werden. Die sogenannte Datenschutz-Grundverordnung (DS-GVO) enthält nun einige Vorgaben, wie mit diesen Daten umzugehen ist und wie wir Sie dabei informieren müssen. Schon zum Zeitpunkt der Erhebung haben Sie nach Art. 13 DS-GVO das Recht, über bestimmte Punkte aufgeklärt zu werden. Aus diesem Grund erhalten Sie diese Informationen.

2. Wer ist verantwortlich für die Datenverarbeitung?

Wir haben eine interne Meldestelle eingerichtet, die für die Entgegennahme von Hinweisen und die Ergreifung von Folgemaßnahmen im Sinne des Hinweisgeberschutzgesetzes (HinSchG) zuständig ist. Die interne Meldestelle wird betreut von der MORGENSTERN consecom GmbH, Große Himmelsgasse 1, 67346 Speyer, Tel.: 06232-10011944. Die MORGENSTERN consecom GmbH ist in dieser Eigenschaft ein eigener Verantwortlicher nach der DS-GVO. Das bedeutet, dass sie in Bezug auf die an sie übermittelten personenbezogenen Daten verantwortlich ist und für die Datenschutzkonformität der Verarbeitung einsteht. Wenn Sie die interne Meldestelle nutzen möchten, verwenden Sie bitte die hierfür separat eingerichteten Kontaktdaten bzw. Meldekanäle.

Bei der Ergreifung von Folgemaßnahmen durch die interne Meldestelle besteht die Möglichkeit, dass Ihre Meldung sowie Identität an die Epikur Software & GmbH Co. KG weitergegeben wird. In diesem Fall ist die Epikur Software & GmbH Co. KG für die Datenverarbeitung verantwortlich. Sie erreichen den Verantwortlichen unter der Franklinstr. 26a, 10587 Berlin, der Telefonnummer +49 (0) 30 - 340601-100, der Telefaxnummer +49 (0) 30 - 340601-109 oder der E-Mail-Adresse info@epikur.de.

Unseren externen Datenschutzbeauftragten erreichen Sie unter privacy@morgenstern-privacy.com. Bitte geben Sie bei einer Kontaktaufnahme an, um welchen Verantwortlichen es geht.

Es besteht die Möglichkeit, dass Ihre Meldung sowie Identität an zuständige Ermittlungsbehörden und andere öffentliche Stellen weitergegeben werden, um etwa begangene Straftaten aufzudecken und zu verfolgen. Wir haben keinen Einfluss darauf, wie dort mit Ihren personenbezogenen Daten umgegangen wird und wem sie offengelegt werden. Die Verantwortlichkeit liegt hier bei den entsprechenden Behörden.

3. Zu welchen Zwecken werden Ihre Daten verarbeitet?

Sofern Sie sich zur Offenlegung Ihrer Identität bei der Meldung entscheiden, wird Ihr Name zusammen mit dem mitgeteilten Sachverhalt dokumentiert. Aus diesem ergeben sich unter Umständen weitere Sie betreffende personenbezogene Daten (z.B. Bereich, Anwesenheit im Unternehmen an einem bestimmten Tag, Ihre Tätigkeit zum Zeitpunkt der geschilderten Situation). Bitte beachten Sie, dass je nach konkretem Sachverhalt ein Rückschluss auf Ihre Person auch ohne Verknüpfung mit Ihrem Namen möglich sein könnte (weil z.B. die von Ihnen beschuldigte Person weiß, dass nur Sie Kenntnis von bestimmten Umständen haben).

Die interne Meldestelle sowie der involvierte Verantwortliche verarbeiten die mitgeteilten (personenbezogenen) Daten zur Dokumentation der Meldung, zur Prüfung der Stichhaltigkeit der Meldung und zur Ergreifung von Folgemaßnahmen. Der übergeordnete Zweck der Datenverarbeitung ist die Umsetzung der Pflichten aus dem Hinweisgeberschutzgesetz (HinSchG) bzw. die Aufklärung und Beseitigung von rechtswidrigen Zuständen und Verhaltensweisen im Unternehmen.

Sofern Sie einen Sachverhalt ohne Nennung Ihres Namens melden, werden Ihre personenbezogenen Daten grundsätzlich nicht verarbeitet (man kann in diesem Fall in der Regel keinen Personenbezug herstellen). Die von Ihnen übermittelten Informationen werden allerdings geprüft und unter Umständen zur Aufklärung des geschilderten Sachverhalts verwendet.

4. Auf welcher Rechtsgrundlage basiert die Verarbeitung?

4.1. Entgegennahme der Meldung und weiteres Vorgehen

Die Datenverarbeitung im Zusammenhang mit der internen Meldestelle beruht auf Art. 6 Abs. 1 c) DS-GVO i. V. m. § 10 HinSchG (gesetzliche Verpflichtung) sowie § 26 BDSG (Arbeitsverhältnis). Wir sind gesetzlich dazu verpflichtet, eine interne Meldestelle einzurichten und befugt, im Rahmen dessen personenbezogene Daten zu verarbeiten. Die Zulässigkeit der Verarbeitung kann sich ebenso nach Art. 6 Abs. 1 a) DS-GVO richten. Dies ist insbesondere dann der Fall, wenn Sie Ihre Einwilligung in die Offenlegung Ihrer Identität bei der Meldung gegenüber weiteren Personen erteilen. Sobald öffentliche Stellen beteiligt sind, richtet sich die Zulässigkeit der Verarbeitung nach speziellen Vorschriften wie der Strafprozessordnung (StPO).

Der von Ihnen geschilderte Sachverhalt wird zusammengefasst und als Vermerk dokumentiert. Wenn Sie eine E-Mail schreiben, wird diese gespeichert. Sofern es nicht verpflichtend ist, Ihre Identität gegenüber anderen Personen oder Stellen preiszugeben, wird deren Vertraulichkeit gewahrt. Ihre Identität wird jedoch offengelegt, wenn

• das in einem Strafverfahren auf Verlangen der Strafverfolgungsbehörden geschieht,
• eine entsprechende Anordnung in einem Verwaltungsverfahren oder einer gerichtlichen Entscheidung ergeht,
• die Weitergabe für Folgemaßnahmen erforderlich ist und Sie eine entsprechende Einwilligung erteilt haben.

Es besteht also im Einzelfall die Möglichkeit, dass Ihre Identität auch ohne Ihre Einwilligung gegenüber anderen Personen oder dem Beschuldigten offengelegt wird (wenn Sie z.B. in einem Strafverfahren als Zeuge auftreten müssen).

4.2. Bestimmte Formen der Dokumentation Ihrer Meldung

Die Art der ersten Dokumentation Ihrer Meldung ist zum Teil von Ihrer Einwilligung nach Art. 6 Abs. 1 a) DS-GVO abhängig. Wenn Sie sich damit einverstanden erklären, fertigen wir eine Tonaufzeichnung oder vollständige und genaue Niederschrift des Wortlauts Ihrer Meldung in Form eines Protokolls an. Die dafür erforderliche Einwilligung wird separat bei Ihnen eingeholt.

Sie können diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung wird dadurch aber nicht berührt. Bitte beachten Sie aber, dass nach der ersten Offenlegung Ihrer personenbezogenen Daten und deren Verarbeitung durch andere Personen als die interne Meldestelle eine Rechtsgrundlage unabhängig von Ihrer Einwilligung vorliegen kann.

4.3. Kein Schutz bei vorsätzlichen oder grob fahrlässigen Falschmeldungen

Ihre Identität wird bei einer vorsätzlichen oder grob fahrlässigen Meldung unrichtiger Informationen über Verstöße nicht geschützt. Im Fall einer solchen Falschmeldung besteht für die beschuldigten Personen ein berechtigtes Interesse daran, Kenntnis über die Identität des Hinweisgebers zu erlangen, um Ansprüche geltend machen zu können.

5. An wen werden Ihre personenbezogenen Daten weitergegeben?

Ihre Identität wird vertraulich behandelt und grundsätzlich ausschließlich der internen Meldestelle bekannt gegeben, die für die Entgegennahme von Meldungen und das Ergreifen von Folgemaßnahmen zuständig ist. Außerdem werden Ihre personenbezogenen Daten an zuständige Stellen in Strafverfahren auf Verlangen der Strafverfolgungsbehörden oder aufgrund einer Anordnung in einem Verwaltungsverfahren oder einer gerichtlichen Entscheidung weitergegeben.

Aufgrund von Art. 14 DS-GVO müsste außerdem der Beschuldigte über die Verarbeitung ihn betreffender personenbezogener Daten informiert werden (spätestens einen Monat nach Ihrer Meldung). Wir sind allerdings der Ansicht, dass in Bezug auf den Hinweisgeber (also Sie) ein Ausnahmetatbestand von der Informationspflicht nach § 29 Abs. 1 BDSG besteht. Diese Vorschrift bestimmt, dass Betroffene (in dem Fall der Beschuldigte) nicht umfassend über die Datenverarbeitung informiert werden müssen, soweit dadurch Informationen offenbart würden, die ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen. Wir sehen hier ein solches Interesse auf Seiten des Hinweisgebers. Der Beschuldigte wird daher nur über Ihre Identität informiert, sofern Sie hierzu Ihre Einwilligung erteilt haben. Sofern wir von einer Behörde oder einem Gericht zur Offenlegung verpflichtet werden, müssen wir dem allerdings Folge leisten.

6. Wie lange werden Ihre personenbezogenen Daten gespeichert?

Eingehende Meldungen werden durch die interne Meldestelle gespeichert und entsprechend den Vorgaben des HinSchG dokumentiert. Die Dokumentation wird von der internen Meldestelle drei Jahre nach Abschluss des Verfahrens gelöscht bzw. anonymisiert, soweit nicht eine längere Aufbewahrung nach dem HinSchG oder nach anderen Rechtsvorschriften erforderlich und verhältnismäßig ist. Sofern Folgemaßnahmen eingeleitet und die Angaben in diesem Zusammenhang weitergegeben wurden, besteht die Möglichkeit einer längeren Speicherung. Insbesondere dann, wenn Strafverfolgungsbehörden involviert sind, werden Ihre Daten von diesen weiterhin gespeichert.

7. Welche Rechte haben Sie?

Sie haben ein Recht auf Auskunft (Art. 15 DS-GVO), Berichtigung (Art. 16 DS-GVO), Löschung (Art. 17 DS-GVO), Einschränkung der Verarbeitung (Art. 18 DS-GVO) sowie auf Datenübertragung (Art. 20 DS-GVO).

Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Die bis zu diesem Zeitpunkt erfolgten Datenverarbeitungen (z.B. Erhebung, Weitergabe) werden hiervon allerdings nicht beeinflusst.

Sie haben jederzeit das Recht, sich an eine zuständige Aufsichtsbehörde zu wenden.