Datenschutz in der Meldestelle

Jede Meldestelle verarbeitet personenbezogene Daten – die der hinweisgebenden Person, der beschuldigten Person, von Zeuginnen und Zeugen sowie oft auch besondere Kategorien nach Art. 9 DSGVO, etwa Gesundheits- oder Gewerkschaftsdaten. Das Hinweisgeberschutzgesetz schafft dafür in § 10 HinSchG eine eigene Verarbeitungsbefugnis: Meldestellen dürfen personenbezogene Daten verarbeiten, soweit dies zur Erfüllung ihrer Aufgaben erforderlich ist, ausdrücklich auch besondere Kategorien personenbezogener Daten. Für gesetzlich verpflichtete Beschäftigungsgeber ist die Rechtsgrundlage damit Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 10 HinSchG (rechtliche Verpflichtung); wer ein Hinweisgebersystem freiwillig betreibt – etwa unterhalb des Schwellenwerts von 50 Beschäftigten –, stützt sich in der Regel auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Eine Einwilligung ist wegen des Abhängigkeitsverhältnisses im Beschäftigungskontext keine tragfähige Grundlage.

Der schwierigste Punkt ist das Verhältnis von Betroffenenrechten und Vertraulichkeitsgebot. Die beschuldigte Person hat grundsätzlich ein Auskunftsrecht nach Art. 15 DSGVO und ist nach Art. 14 DSGVO über die Verarbeitung zu informieren. Beides kollidiert mit § 8 HinSchG, der die Identität der hinweisgebenden Person schützt. Die Meldestelle muss deshalb differenzieren: Auskunft ist zu erteilen, soweit sie nicht die Identität der hinweisgebenden Person oder anderer geschützter Personen offenlegt – insoweit greifen die Beschränkungen aus Art. 14 Abs. 5 lit. b DSGVO sowie §§ 29, 34 BDSG, weil § 8 HinSchG eine gesetzliche Geheimhaltungspflicht darstellt. Die Information der beschuldigten Person darf zudem aufgeschoben werden, solange sie interne Ermittlungen gefährden würde (Verdunkelungsgefahr); nachgeholt werden muss sie, sobald der Zweck es zulässt.

Bei den Löschfristen setzt § 11 Abs. 5 HinSchG den Maßstab: Die Dokumentation einer Meldung ist drei Jahre nach Abschluss des Verfahrens zu löschen. Länger aufbewahrt werden darf sie nur, um Anforderungen aus dem HinSchG oder anderen Rechtsvorschriften zu erfüllen, und nur solange dies erforderlich und verhältnismäßig ist – etwa bei laufenden arbeits- oder strafrechtlichen Verfahren. Alles, was nicht zur Bearbeitung erforderlich ist, darf schon vorher nicht gespeichert werden (Art. 5 Abs. 1 lit. c und e DSGVO). Hinzu kommen die üblichen Pflichten des Verantwortlichen: Eintrag im Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO bei Nutzung eines externen Meldesystems, strenge technische und organisatorische Maßnahmen nach Art. 32 DSGVO mit strikter Zugriffsbeschränkung auf die beauftragten Personen – und regelmäßig eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO, da Whistleblowing-Systeme auf der Muss-Liste der Datenschutzkonferenz stehen.