Verfahren zum Schutz der Hinweisgeber und der bei der Aufklärung mitwirkenden Personen im Hinweisgebersystem und Information zum Umgang mit personenbezogenen Daten

1. Meldung an den Ombudsmann

1.1 Jede Meldung wird dokumentiert.

Schriftliche und elektronische Meldungen werden vom Ombudsmann zugriffsgeschützt aufbewahrt bzw. gespeichert.

Für mündliche Meldungen gilt folgendes:

• Mit Einwilligung des Hinweisgebers werden mündliche Meldungen (z.B. per Telefon) dauerhaft und abrufbar in einer Tonaufzeichnung gespeichert. Alternativ zur Speicherung kann eine vollständige und genaue Niederschrift des Gesprächs durch den Ansprechpartner erfolgen.
• Erfolgt keine Tonaufzeichnung der mündlichen Meldung, kann ein Gesprächsprotokoll durch den Ansprechpartner angefertigt werden.

Für persönliche Zusammenkünfte gilt folgendes:

• Erfolgt ein Treffen mit dem Hinweisgeber, kann auch hier mit Einwilligung des Hinweisgebers eine Tonaufzeichnung angefertigt und diese dauerhaft und abrufbar gespeichert oder alternativ ein Protokoll angefertigt werden.

Der Hinweisgeber muss die Möglichkeit erhalten, Niederschriften bzw. Protokolle von mündlichen Meldungen bzw. persönlichen Zusammenkünften zu prüfen, ggf. zu korrigieren und durch seine Unterschrift zu bestätigen.

Zu der Meldung wird zudem dokumentiert, welche weiteren Schritte vorgenommen wurden. Ist der Ombudsmann der Auffassung, dass weitere Ermittlungen erfolgen sollten, dokumentiert er auch dies und leitet die Informationen an den vertraglich festgelegten Ansprechpartner beim Unternehmen weiter.

1.2 Jede Meldung wird vertraulich und unter Berücksichtigung der geltenden Datenschutzgesetze behandelt. Insbesondere ist sichergestellt, dass die Vertraulichkeit der Identität des Hinweisgebers und betroffener Personen gewahrt bleibt und nur zugriffsberechtigte Mitarbeiter des Unternehmens Zugriff auf diese Daten erhalten.

Der Hinweisgeber erhält er innerhalb von sieben Tagen nach Zugang der Meldung eine Bestätigung über deren Eingang.

1.3 Hat der Ombudsmann die Meldung entgegengenommen und ist er der Auffassung, dass Folgemaßnahmen ergriffen werden sollten, wird er dies dokumentieren und dem Hinweisgeber mitteilen. Er wird nach entsprechender vorheriger Freigabe durch den Hinweisgeber die Informationen an die beim Unternehmen zuständige Stelle weiterleiten. Den Namen des Hinweisgebers wird er ebenfalls nur nach dessen entsprechender Freigabe gegenüber dem Unternehmen offenlegen.

2. Folgemaßnahmen beim Unternehmen

2.1 Die beim Unternehmen zuständige Stelle ergreift nach Mitteilung durch den Ombudsmann die Folgemaßnahmen bzw. führt interne Ermittlungen durch.

2.2 Mitarbeiter sind verpflichtet, die für die Untersuchung zuständige Stelle bei ihren Ermittlungen zu unterstützen und nach bestem Gewissen an der Aufklärung des Verdachts mitzuwirken. Sie sind zur Vertraulichkeit verpflichtet. Die Mitarbeiter sind nicht verpflichtet, Informationen mitzuteilen, die sie selbst belasten würden.

2.3 Die ermittelten Informationen werden dokumentiert, wobei nur die erforderlichen Daten erhoben und verarbeitet werden. Soweit aufgrund der ermittelten Ergebnisse erforderlich, werden die weiteren zuständigen Stellen, die Entscheidungsberechtigten sowie im Anschluss ggf. die Behörden eingeschaltet und die entsprechenden Daten an diese übermittelt.

2.4. Die Untersuchung wird zeitlich so schnell wie im angemessenen Rahmen möglich durchgeführt.

2.5. Der Hinweisgeber wird von der für die Untersuchung zuständigen Stelle über den Fortlauf des Verfahrens bzw. die Folgemaßnahmen informiert. Die Rückmeldung an den Hinweisgeber erfolgt maximal drei Monate nach Bestätigung des Eingangs der Meldung bzw. – sollte in Ausnahmefällen keine Bestätigung erfolgt sein – drei Monate nach Ablauf der Frist von sieben Tagen nach Eingang der Meldung.

2.6. Stellt sich eine Meldung als falsch heraus oder kann sie nicht ausreichend mit Fakten belegt werden, wird dies entsprechend dokumentiert und das Verfahren unverzüglich eingestellt.

2.7. Für die betroffene Person dürfen keine Konsequenzen entstehen, insbesondere wird der Vorgang nicht in der Personalakte dokumentiert.

2.8. Das Unternehmen wird sich im Übrigen bemühen, die Ergebnisse und Vorschläge einer jeden Untersuchung so zu nutzen, dass ein Fehlverhalten, soweit dies nach den bestehenden Umständen möglich ist, korrigiert werden kann.

3. Schutz des Hinweisgebers und der bei der Aufklärung mitwirkenden Personen

3.1. Der Hinweisgeber sowie jede Person, die an der Aufklärung mitwirken soll, sind vor den weiteren Verfahrensschritten einmalig zu belehren über

–           das Verfahren,

–           das Recht, sich nicht selbst belasten zu müssen;

–           den Vorwurf, zu dem ermittelt werden soll, soweit es für die Befragung erforderlich ist.

3.2. Die Belehrung ist zu dokumentieren. Die Belehrung ist zu unterzeichnen, sofern sie nicht telefonisch erfolgt.

3.3. Der Schutz eines Hinweisgebers wird durch die vertrauliche Behandlung seiner Identität gewährleistet. Sofern er seine Kontaktdaten mitteilt, werden diese nur unter Berücksichtigung der datenschutzrechtlichen Vorgaben gespeichert und genutzt. Ihm werden bei einer Erhebung seiner Daten sowohl die Zwecke der Datenspeicherung als auch -nutzung mitgeteilt. Gleiches gilt, wenn seine Daten an andere Stellen aufgrund einer gesetzlichen oder gerichtlichen Anordnung übermittelt werden sollen.

3.4 Grundsätzlich wird der Name des Hinweisgebers nicht bekannt gegeben. Abweichendes kann gelten, wenn der Hinweisgeber die Offenlegung seiner Identität freigibt oder eine entsprechende Rechtspflicht aufgrund eines Gesetzes oder einer behördlichen Anordnung, z. B. der Staatsanwaltschaft, besteht. Der Hinweisgeber wird in jedem Fall vorab von der Offenlegung seiner Identität unterrichtet, sofern dies nicht durch die Staatsanwaltschaft oder ein Gericht untersagt wird. In einem solchen Fall wird die Information nach Wegfall des Grundes unverzüglich nachgeholt. Gleiches gilt für Personen, die an der Aufklärung des Verdachts mitgewirkt haben.

3.5 Sofern der Hinweisgeber im Rahmen der Meldung seine Identität bewusst mitteilt, gewollt darlegt bzw. die Offenlegung seiner Identität gestattet, besteht für den Ombudsman grundsätzlich die Möglichkeit das Unternehmen innerhalb eines Monats nach erfolgter Meldung bezüglich der Identität den Hinweigeber ion Knntnis zu setzen wenn nicht berechtigte Geheimhaltungsinteressen, insbesondere laufende Ermittlungsmaßnahmen, dem entgegenstehen. Der Hinbweisgeber kann bis zum Ablauf dieser Frist seine entsprechende Einwilligung gegenüber dem Unternehmen widerrufen und damit die Mitteilung seiner Identität unterbinden.

3.6 Jeder Hinweisgeber, der eine Meldung in gutem Glauben abgibt oder an der Aufklärung eines entsprechenden Verdachts mitwirkt, muss nicht aufgrund der Meldung an sich bzw. der Mitwirkung an der Meldung mit negativen Konsequenzen bzw. Repressalien rechnen (z.B. Suspendierung, Kündigung, Herabstufung, Aufgabenverlagerung, schlechte Beurteilungen, Disziplinarmaßnahmen oder Diskriminierung). Ebenso wenig ist die Androhung oder der Versuch von Repressalien zulässig.

Dies gilt auch für Mittler, Dritte, die mit dem Hinweisgeber in Verbindung stehen und im beruflichen Kontext Repressalien erleiden könnten bzw. Unternehmen, die im Eigentum des Hinweisgebers stehen, für die er arbeitet oder mit denen er in einem beruflichen Kontext in Verbindung steht.

Sollte sich trotz des oben aufgeführten Verbots, ein solcher Vorfall ereignen, kann dieser entsprechend über die dort vorgesehenen Meldewege mitgeteilt werden. Jegliche Benachteiligung, Diskriminierung, Belästigung oder ähnliches wird seitens des Unternehmens nicht geduldet. Das Unternehmen prüft die Umstände des jeweiligen Falles und kann vorübergehende oder dauerhafte Maßnahmen ergreifen, um den Hinweisgeber, etc. zu schützen und die Interessen des Unternehmens zu wahren. Das Unternehmen informiert die Betroffenen schriftlich über das Ergebnis der jeweiligen Untersuchung.

Jeder Mitarbeiter oder Vorgesetzte, der gegen dieses Verbot von Repressalien verstößt, muss mit disziplinarischen Maßnahmen rechnen, die im äußersten Fall zu seiner Entlassung führen können.

3.7 Jeder ist aufgefordert, Missstände, Fehlverhalten etc. zu melden. Der Hinweisgeber sollte dabei darauf achten, dass er die Fakten objektiv, akkurat und vollständig darstellt. Persönliche Erfahrungen, mögliche Vorurteile oder subjektive Auffassungen sollten als solche kenntlich gemacht werden.

Eine Meldung sollte in gutem Glauben erfolgen. Ergibt die Überprüfung des Hinweises, dass bspw. kein begründeter Verdacht besteht oder die Fakten nicht ausreichen, um einen Verdacht zu erhärten, haben Hinweisgeber, die einen Hinweis gutgläubig melden, keine disziplinarischen Maßnahmen zu befürchten.

Anderes gilt für Hinweisgeber, die das Hinweisgebersystem bewusst für falsche Meldungen missbrauchen; diese müssen mit disziplinarischen Maßnahmen rechnen. Auch eine Beeinträchtigung des Hinweisgebersystems durch bspw. Manipulation, Vertuschung oder der Bruch von Absprachen betreffend die Vertraulichkeit können disziplinarische Maßnahmen nach sich ziehen. Als Maßnahmen kommen bspw. Abmahnungen oder Kündigungen in Betracht. Daneben kann dies zivilrechtliche oder strafrechtliche Folgen nach sich ziehen.

4. Schutz der gemeldeten Person

4.1. Informationsrecht

Jede von einem Hinweis betroffene Person wird zu gegebener Zeit und unter Berücksichtigung der datenschutzrechtlichen Vorgaben über die gegen sie gerichteten Verdachtsäußerungen benachrichtigt, sofern diese Benachrichtigung nicht den Fortgang des Verfahrens zur Feststellung des Sachverhalts bzw. die Durchführung der Folgemaßnahmen erheblich erschweren würde. Die Benachrichtigung erfolgt spätestens nach Abschluss der Ermittlungen bzw. wenn die Ermittlungen nicht mehr gefährdet werden können.

Die Benachrichtigung enthält in der Regel Informationen über

• den Namen des Verantwortlichen und die Kontaktdaten des Datenschutzbeauftragten,
• die Einzelheiten der eingereichten Meldung,
• die Zwecke der Verarbeitung,
• die Rechtsgrundlage für die Verarbeitung sowie die berechtigten Interessen der des Untzernehmens, die der Verarbeitung zugrunde liegen,
• die Kategorien der personenbezogenen Daten, die verarbeitet werden,
• die Abteilungen, die über die Meldung informiert sind sowie die zum Zugriff auf die Daten berechtigten Personen,
• die Empfänger bzw. Kategorien der Empfänger,
• die Absicht, die Daten an einen Empfänger mit Sitz in einem unsicheren Drittland zu übermitteln sowie die Rechtsgrundlage für die Übermittlung,
• den Hinweisgeber bzw. die Quelle, soweit dieser der Offenlegung seiner Daten zugestimmt hat oder dies zur Wahrung der Interessen der betroffenen Person erforderlich ist,
• die Dauer der Speicherung der Daten bzw. die Kriterien für die Festlegung der Dauer,
• die Rechte des Betroffenen auf Auskunft, Berichtigung, Sperrung oder Löschung bzw. etwaige Widerspruchsrechte,
• Beschwerderechte bei der Aufsichtsbehörde.

4.2 Recht zur Stellungnahme

Die betroffene Person ist von der zuständigen Stelle des Unternehmens bzw. den Entscheidungsberechtigten anzuhören, bevor am Ende des oben erläuterten Verfahrens Schlussfolgerungen unter namentlicher Benennung der Person gezogen werden. Ist eine Anhörung aus objektiven Gründen nicht möglich, fordert die zuständige Stelle bzw. fordern die Entscheidungsberechtigten die betroffene Person auf, ihre Argumente schriftlich zu formulieren. Im Anschluss beschließen die Entscheidungsberechtigten die im Interesse des Unternehmens notwendigen Maßnahmen.

4.3 Recht auf Löschung

Bestätigt sich der in der Meldung geltend gemachte Verdacht nicht, hat die betroffene Person ein Recht auf Löschung ihrer in diesem Zusammenhang vom Unternehmen gespeicherten Daten.

4.4 Weitere Rechte

4.4.1 Recht auf Auskunft

Sämtliche Personen, deren Daten im Rahmen des Verfahrens vom Unternehmen verarbeitet werden (z.B. der Hinweisgeber, die betroffene Person oder die bei der Aufklärung mitwirkenden Personen), haben grundsätzlich das Recht, vom Unternehmens nach Art. 15 DSGVO Auskunft über die von des Unternehmensüber sie gespeicherten Daten und weitere Informationen, wie z.B. die Verarbeitungszwecke oder die Empfänger der Daten zu verlangen. Das Recht besteht nicht, wenn durch die Auskunft Informationen offenbart werden, die wegen der überwiegenden berechtigten Interessen eines Dritten geheim gehalten werden müssen.

4.4.2 Recht auf Berichtigung, Sperrung und Löschung

Sämtliche Personen, deren Daten im Rahmen des Verfahrens von des Unternehmensverarbeitet werden (z.B. der Hinweisgeber, die betroffene Person, die Mittler oder andere bei der Aufklärung mitwirkenden Personen), haben das Recht auf Berichtigung ihrer unrichtigen Daten, das Recht auf deren Vervollständigung, das Recht, die Sperrung ihrer Daten oder deren Löschung zu verlangen, sofern dafür die Voraussetzungen nach Art. 16 ff. DSGVO vorliegen. Ein Löschungsverlangen ist z.B. berechtigt, wenn die Daten unrechtmäßig verarbeitet wurden oder die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr benötigt werden.

4.4.3 Benachrichtigung der Empfänger

Wenn das Unternehmen die Daten an einen Dritten weitergegeben hat, wird es den Empfänger der Daten im Einklang mit den gesetzlichen Regelungen über die Berichtigung, Löschung oder Sperrung der Daten benachrichtigen.

4.4.4 Widerrufs- und Widerspruchsrechte

Erfolgt die Verarbeitung auf Grundlage einer Einwilligung, kann diese grundsätzlich jederzeit ohne Begründung widerrufen werden. Für die Einwilligung eines Hinweisgebers gelten abweichend die Regelungen in Ziffern 3.3. bis 3.5.

Werden Daten auf Grundlage von berechtigten Interessen des Unternehmens verarbeitet, kann die von dieser Verarbeitung betroffene Person jederzeit aus Gründen, die sich aus ihrer besonderen Situation ergeben, gegen die Verarbeitung ihrer Daten beim Unternehmens Widerspruch einlegen. Das Unternehmen wird dann entweder überwiegende schutzwürdige Gründe, die die Verarbeitung erlauben, nachweisen oder es verarbeitet die Daten nicht mehr. Für die Zeit dieser Überprüfung erfolgt eine Sperrung der Daten für diese Zwecke.

4.4.5 Beschwerderecht

Sowohl der Hinweisgeber als auch die betroffene Person können sich bei Hinweisen auf Verletzung dieser Richtlinie an den Ombudsmann oder ein anderes Mitglied der Geschäftsführung des Unternehmens wenden. Die Hinweise werden überprüft und an die zuständigen Stellen zur weiteren Aufklärung und Einleitung von Folgemaßnahmen weitergeleitet.

Sowohl der Hinweisgeber als auch die betroffene Person können sich weiter an ein anders Mitglied der Geschäftsführung des Unternehmens oder den DSB wenden, wenn sie die durchgeführten Ermittlungen für fehlerhaft bzw. unzureichend halten oder sie nach ihrer Auffassung im Rahmen der Ermittlungen ungerechtfertigt benachteiligt werden. Die erforderlichen Maßnahmen zur Überprüfung der Angelegenheit werden in diesem Fall eingeleitet und der Beschwerdeführer entsprechend informiert.

4.4.6 Aufsicht

Sofern ein Betroffener der Ansicht ist, dass das Unternehmen die Daten nicht im Einklang mit dem geltenden Datenschutzrecht verarbeitet, kann er Beschwerde bei einer Datenschutzaufsichtsbehörde einlegen. Die Beschwerde kann insbesondere gegenüber einer Behörde in dem Mitgliedsstaat seines Aufenthaltsorts, seines Arbeitsplatzes oder dem Ort des mutmaßlichen Verstoßes erfolgen.

Wir verwenden Ihre persönlichen Informationen, um Bestellungen entgegenzunehmen und abzuwickeln, Produkte und Dienstleistungen zu liefern, Zahlungen abzuwickeln und mit Ihnen über Bestellungen, Produkte, Dienstleistungen und Werbeangebote zu kommunizieren.

Kategorien der personenbezogenen Daten:
– Stammdaten (wie Vorname, Nachname, Namenszusätze)
– Kontaktdaten (wie private Anschrift, E-Mail, Telefonnummer)
– Zahlungsinformationen
– Bankverbindung

Herkunft der personenbezogenen Daten:
Ihre personenbezogenen Daten werden direkt bei Ihnen erhoben.

Wir verarbeiten Ihre personenbezogenen Daten unter Beachtung der Bestimmungen DSGVO, des BDSG sowie aller weiteren maßgeblichen Gesetze.
In erster Linie dient die Datenverarbeitung der Begründung des Beschäftigungsverhältnisses. Die vorrangige Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit a und b DSGVO i. V. m. § 26 Abs. 1 BDSG.

Eine weitere Rechtsgrundlage stellt Ihre Einwilligung nach § 51 BDSG dar, die Sie uns konkludent durch Einreichen Ihrer Bewerbung gegeben haben.

Sollten wir Ihnen keine Beschäftigung anbieten können, werden wir Ihre Bewerberdaten nach Abschluss des Bewerbungsverfahrens sechs Monate zu dem Zweck aufbewahren, eventuelle Fragen im Zusammenhang mit Ihrer Bewerbung beantworten zu können. Eine Löschung der Daten erfolgt ausnahmsweise nicht, sofern gesetzliche Bestimmungen einer Löschung entgegenstehen, die weitere Speicherung zum Zwecke der Beweisführung erforderlich ist oder Sie einer längeren Speicherung ausdrücklich zugestimmt haben.

Falls Ihre Bewerbungsunterlagen für die Verantwortlichen jedoch längerfristig von Interesse sind und lediglich aktuell keine geeignete Beschäftigung in unserem Haus zur Verfügung steht, erfragen wir Ihre Einwilligung, Ihre Daten aus der Bewerbung für eine Dauer von bis zu zwei Jahre vorzuhalten und zu speichern. So können wir Sie bei künftigen Stellenangeboten ggf. kontaktieren.

Sie können Ihre Bewerbung jederzeit zurücknehmen und auch Ihr Einverständnis zur Verarbeitung und Nutzung Ihrer personenbezogenen Daten widerrufen. Wenn Sie Ihr Einverständnis widerrufen möchten, wenden Sie sich bitte an unseren Datenschutzbeauftragten unter den angegebenen Kontaktdaten.

Ihre Bewerbung samt den darin enthaltenen personenbezogenen Daten wird in diesem Fall gelöscht, Papierunterlagen datenschutzgerecht entsorgt, sofern nicht gesetzliche Aufbewahrungsfristen dem entgegenstehen. Wir sind auch gerne bereit, Ihnen die Bewerbungsunterlagen per Post zurückzusenden, sofern Sie dies wünschen.

Wir verarbeiten Ihre personenbezogenen Daten unter Beachtung der Bestimmungen der DSGVO, des BDSG sowie aller weiteren maßgeblichen Gesetze (z. B. BetrVG, ArbZG, etc.).

In erster Linie dient die Datenverarbeitung der Begründung, Durchführung und Beendigung des Beschäftigungsverhältnisses. Die vorrangige Rechtsgrundlage hierfür ist Art. 6 Abs. 1 b) DSGVO i. V. m. § 26 Abs. 1 BDSG.

Daneben können Kollektivvereinbarungen (Konzern-, Gesamt- und Betriebsvereinbarungen sowie tarifvertragliche Regelungen) gem. Art. 6 Abs. 1 b) i. V. m. Art. 88 Abs. 1 DSGVO i. V. m. § 26 Abs. 4 BDSG sowie ggf. Ihre gesonderten Einwilligungen gem. Art. 6 Abs. 1 a), Art. 7 DSGVO i. V. m. § 26 Abs. 2 BDSG (z. B. bei Videoaufnahmen) als datenschutzrechtliche Erlaubnisvorschrift herangezogen werden.

Ihre Daten verarbeiten wir auch, um unsere rechtlichen Pflichten als Arbeitgeber insbesondere im Bereich des Steuer- und Sozialversicherungsrechts erfüllen zu können. Dies erfolgt auf Grundlage von Art. 6 Abs. 1 c) DSGVO i.V.m. § 26 BDSG.

Soweit erforderlich verarbeiten wir Ihre Daten zudem auf Grundlage von Art. 6 Abs. 1 f DSGVO, um berechtigte Interessen von uns oder von Dritten zu wahren. Dies gilt insbesondere bei der Aufklärung von Straftaten (Rechtsgrundlage § 26 Abs. 1 S. 2 BDSG) oder im Konzern zu Zwecken der Konzernsteuerung, der internen Kommunikation und sonstiger Verwaltungszwecke.

Soweit besondere Kategorien personenbezogener Daten gem. Art. 9 Abs. 1 DSGVO verarbeitet werden, dient dies im Rahmen des Beschäftigungsverhältnisses der Ausübung von Rechten oder der Erfüllung von rechtlichen Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und dem Sozialschutz (z. B. Angabe von Gesundheitsdaten gegenüber der Krankenkasse, Erfassung der Schwerbehinderung wegen Zusatzurlaub und Ermittlung der Schwerbehindertenabgabe). Dies erfolgt auf Grundlage von Art. 9 Abs. 2 b) DSGVO i. V. m. § 26 Abs. 3 BDSG. Zudem kann die Verarbeitung von Gesundheitsdaten für die Beurteilung Ihrer Arbeitsfähigkeit gem. Art. 9 Abs. 2 h) i.V.m. § 22 Abs. 1 b) BDSG erforderlich sein. Daneben kann die Verarbeitung besonderer Kategorien personenbezogener Daten auf einer Einwilligung nach Art. 9 Abs. 2 a DSGVO i. V. m. § 26 Abs. 2 BDSG beruhen (z.B. betriebliches Gesundheitsmanagement).