Datenschutz

I. Einleitung und Begriffe 

1. ALLGEMEIN
Mit dem Betrieb unseres Hinweisgebersystems mit der URL https://MUSTERUNTERNEHMEN.hinweisseite.de (im Folgenden „Webseite“ genannt) verarbeiten wir personenbezogene Daten. Diese werden von uns vertraulich behandelt und nach den geltenden Gesetzen – insbesondere der Datenschutzgrundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG) und des Telekommunikation-Telemedien-Datenschutzgesetz (TTDSG) – verarbeitet. Mit diesen Datenschutzbestimmungen wollen wir Sie darüber informieren, welche personenbezogenen Daten wir von Ihnen erheben, zu welchen Zwecken und auf welcher Rechtsgrundlage wir sie verwenden und gegebenenfalls wem wir sie offenlegen. Darüber hinaus werden wir Ihnen erklären, welche Rechte Ihnen zur Wahrung und Durchsetzung Ihres Datenschutzes zustehen.

2. BEGRIFFE
Unsere Datenschutzbestimmungen enthalten Fachbegriffe, die in der DSGVO und dem BDSG stehen. Zu Ihrem besseren Verständnis wollen wir diese Begriffe in einfachen Worten vorab erklären:

2.1 Personenbezogene Daten
 „Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen (Art. 4 Nr. 1 DSGVO). Angaben einer identifizierten Person können z. B. der Name oder die E-Mail-Adresse sein. Personenbezogen sind aber auch Daten, bei denen die Identität nicht unmittelbar ersichtlich ist, sich aber ermitteln lässt, indem man eigene oder fremde Informationen kombiniert und so erfährt um wen es sich handelt. Eine Person wird z. B. über die Angabe Ihrer Anschrift oder Bankverbindung, Ihres Geburtsdatums oder Benutzernamens, Ihrer IP-Adressen und/oder Standortdaten identifizierbar. Relevant sind hier alle Informationen, die in irgendeiner Weise einen Rückschluss auf eine Person zulassen.

2.2 Verarbeitung
Unter einer „Verarbeitung“ versteht Art. 4 Nr. 2 DSGVO jeden Vorgang im Zusammenhang mit personenbezogenen Daten. Dies betrifft insbesondere das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung, Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung von personenbezogenen Daten.

II. Verantwortlicher und Datenschutzbeauftragter 

3. VERANTWORTLICHER

Verantwortlich für die Datenverarbeitung ist:

Unternehmen: [...] („wir“)
Gesetzlicher Vertreter: [...] (Geschäftsführer)
Anschrift: [...]
Telefon: [...]
Fax: [...]
E-Mail: [...]

4. DATENSCHUTZBEAUFTRAGTER
Wir haben für unser Unternehmeneinen externen Datenschutzbeauftragten bestellt. Sie erreichen ihn unter: 

Name: Arne Platzbecker
Anschrift: HABEWI GmbH & Co. KG, Palmaille 96, 22767 Hamburg
Telefon: 040/ 46008966
Fax: 040/ 46008977
E-Mail: datenschutz@habewi.de

III. Verarbeitungsrahmen 

5. VERARBEITUNGSRAHMEN: HINWEISGEBERSYSTEM 
Im Rahmen des Hinweisgebersystems verarbeiten wir die nachfolgend im Abschnitt IV. im Einzelnen aufgeführten personenbezogenen Daten von Ihnen. Wir verarbeiten nur Daten von Ihnen, die Sie aktiv auf des Hinweisgebersystems angeben (z.B. durch das Ausfüllen von Formularen) oder die Sie bei der Nutzung unseres Angebotes automatisch zur Verfügung stellen.

Ihre Daten werden ausschließlich von uns verarbeitet und grundsätzlich nicht an Dritte verkauft, verliehen oder weitergegeben. Sofern wir uns bei der Verarbeitung Ihrer personenbezogenen Daten der Hilfe externer Dienstleister bedienen, erfolgt dies im Rahmen einer sogenannten Auftragsverarbeitung. Zum Betrieb unseres digitalen Hinweisgebersystems setzen wir für das Hosting, sowie für die Betreuung als Ombudspersonen den Dienstleister HABEWI GmbH & Co. KG, Palmaille 96, 22767 Hamburg, www.hinweisseite.de ein. Dieser nutzt als Subdienstleister eine Softwarelösung der Vispato GmbH, Hansaallee 299, 40549 Düsseldorf, die im ISO 27001 zertifizierten Rechenzentrum der DATEV eG gehosted und auf einem verschlüsselten Cloud-Server von Hetzner gesichert wird. 

Eine Datenübermittlung in Drittstaaten findet durch uns grundsätzlich nicht statt und ist auch nicht geplant.

IV. Die Verarbeitung im Einzelnen 

6. DIGITALES HINWEISGEBERSYSTEM
6.1 Beschreibung der Verarbeitung
Zur Meldung von Missständen und Verstößen in unserem Unternehmen haben wir ein digitales Ende-zu-Ende verschlüsselte Hinweisgebersystem als internen Meldekanal i.S.v. §§ 12 Abs. 1, 16 HinSchG bereitgestellt, das unter der URL https://MUSTERUNTERNEHMEN.hinweisseite.de erreichbar ist. In diesem digitalen Meldesystem haben Mitarbeiter:innen die Möglichkeit, entweder anonym oder vertraulich (in letzterem Fall unter Angabe eines Namens und einer E-Mail-Adresse) Meldungen in Form von Text- oder Sprachnachrichten einzureichen. Zudem können weitere Unterlagen zu einer Meldung hochgeladen und übermittelt werden. Das Hinweisgebersystem ist so ausgestaltet, dass es auch nach einer Meldung unter Gewährleistung der Anonymität bzw. Vertraulichkeit eine Kommunikation mit den Hinweisgeber:innen ermöglicht. 
Verarbeitet werden im Zusammenhang mit einer Meldung ggf. personenbezogene Daten des/der Hinweisgeber:innen, insbesondere Daten aus den Inhalten der Meldung und bei einer vertraulichen Meldung Name und E-Mail-Adresse. Darüber hinaus werden über die Inhalte einer Meldung ggf. Daten von Personen verarbeitet, die Gegenstand einer Meldung sind (z.B. Mitarbeiter:innen; Leiharbeitnehmer:innen, Praktikant:innen, Geschäftspartner, Kund:innen) oder sonstigen in der Meldung genannten Personen.
Zur Wahrung der Vertraulichkeit und Integrität ist das Hinweisgebersystem nicht in unsere Unternehmens-IT integriert, sondern wird in unserem Auftrag von unserem Compliance- und Datenschutz-Dienstleister HABEWI GmbH & Co. KG, Palmaille 96, 22767 Hamburg, www.hinweisseite.de als Ombudsperson betrieben und betreut. Die Ombudsperson nimmt die eingehenden Hinweise entgegen, leitet sie an die Geschäftsführung unseres Unternehmens bzw. die zur Vertraulichkeit verpflichtete Ansprechperson unseres Unternehmens weiter und führt die Kommunikation mit dem/der Hinweisgeber:in. 
Die mit und in einer Meldung übermittelten Daten werden ausschließlich zum Zwecke der Bearbeitung, Beantwortung und Dokumentation des Hinweises verwendet. Das beinhaltet die Nutzung zur Aufklärung von Verstößen und zum Ergreifen von Folgemaßnahmen. Wir weisen darauf hin, dass das Vertraulichkeitsgebot in § 8 HinschG nicht uneingeschränkt gewahrt wird. Es gelten die gesetzlichen Ausnahmen aus § 9 HinSchG.
 
6.2 Zweck
Mit der Bereitstellung und dem Betrieb eines digitalen Hinweisgebersystems wollen wir Mitarbeiter:innen eine bequeme und sichere Möglichkeit anbieten, sich uns Missstände und Verstöße zu melden. Gleichzeitig dient das Hinweisgebersystem der Erfüllung der gesetzlichen Pflichten aus dem HinschG.

6.3 Rechtsgrundlage
Die Verarbeitung ist gem. Art. 6 Abs. 1 lit. c DSGVO zur Erfüllung der rechtlichen Verpflichtungen aus dem Hinweisgeberschutzgesetz (HinSchG) erforderlich. Insbesondere sind Meldestellen gem. § 10 S. 1 HinschG befugt, personenbezogene Daten zu verarbeiten, soweit dies zur Erfüllung ihrer in den §§ 13 und 24 HinSchG bezeichneten Aufgaben erforderlich ist.

6.4 Speicherdauer
Die Daten werden von uns gelöscht, sobald sie für die Erreichung des Zweckes ihrer Erhebung nicht mehr erforderlich sind. Für eingegangene Hinweise und deren Bearbeitung gilt gem. § 11 HinSchG eine gesetzliche Dokumentations- und Aufbewahrungspflicht. Die Dokumentation wird gem. § 11 Abs. 5 HinschG drei Jahre nach Abschluss des Verfahrens gelöscht. Sie kann länger aufbewahrt werden, um die Anforderungen nach diesem Gesetz oder nach anderen Rechtsvorschriften zu erfüllen, solange dies erforderlich und verhältnismäßig ist.

6.4 Empfänger
Für den Betrieb und die Betreuung des digitalen Hinweisgebersystems haben wir den Dienstleister HABEWI GmbH & Co. KG, Palmaille 96, 22767 Hamburg, www.hinweisseite.de eingebunden. In der Rolle als Ombudsperson wird er die Meldungen an unsere Geschäftsführung und/oder eine im Hinblick auf den Hinweisgeberschutz zur Vertraulichkeit verpflichtete Ansprechperson zur weiteren Bearbeitung weiterleiten. Es erfolgt zudem ggf. eine Weitergabe von Daten an weitere Empfänger (z.B. Strafverfolgungs- oder sonstige zuständige Behörden) ggf. unter Aufhebung der Vertraulichkeit gem. § 9 HinSchG – und zwar unter anderem im Rahmen der Aufklärungs- und Folgemaßnahmen.

V. Sicherheitsmaßnahmen 

7. Sicherheitsmaßnahmen
Um Ihre persönlichen Daten vor fremdem Zugriff zu schützen, haben wir unsere Webseite mit einem SSL- bzw. TLS-Zertifikat versehen. SSL steht für „Secure-Sockets-Layer“ und TLS für „Transport Layer Security“ und verschlüsselt die Kommunikation von Daten zwischen einer Webseite und dem Endgerät des Nutzers. Sie erkennen die aktive SSL- bzw. TLS-Verschlüsselung an einem kleinen Schloss-Logo, das ganz links in der Adresszeile des Browsers angezeigt wird. Das digitale Hinweisgebersystem ist zudem Ende-zu-Ende verschlüsselt. 

VI. Ihre Rechte 

8. Betroffenenrechte
Im Hinblick auf die oben beschriebene Datenverarbeitung durch unser Unternehmen stehen Ihnen die folgenden Betroffenenrechte zu:

8.1 Auskunft (Art. 15 DSGVO)
Sie haben das Recht, von uns eine Bestätigung darüber zu verlangen, ob wir Sie betreffende personenbezogene Daten verarbeiten. Ist dies der Fall, so haben sie unter den in Art. 15 DSGVO genannten Voraussetzungen ein Recht auf Auskunft über diese personenbezogenen Daten und auf die in Art. 15 DSGVO im einzelnen aufgeführten Informationen.

8.2 Berichtigung (Art. 16 DSGVO)
Sie haben das Recht, von uns unverzüglich die Berichtigung Sie betreffender unrichtiger personenbezogener Daten und ggf. die Vervollständigung unvollständiger personenbezogener Daten zu verlangen.

8.3 Löschung (Art. 17 DSGVO)
Sie haben das Recht, von uns zu verlangen, dass Sie betreffende personenbezogene Daten unverzüglich gelöscht werden, sofern einer der in Art. 17 DSGVO im Einzelnen aufgeführten Gründe zutrifft, z. B. wenn Ihre Daten für die von uns verfolgten Zwecke nicht mehr benötigt werden.

8.4 Einschränkung der Datenverarbeitung (Art. 18 DSGVO)
Sie haben das Recht, von uns die Einschränkung der Verarbeitung zu verlangen, wenn eine der in Art. 18 DSGVO aufgeführten Voraussetzungen gegeben ist, z. B. wenn Sie die Richtigkeit Ihrer personenbezogenen Daten bestreiten, wird die Datenverarbeitung für die Dauer eingeschränkt, die uns die Überprüfung der Richtigkeit Ihrer Daten ermöglicht.

8.5 Datenübertragbarkeit (Art. 20 DSGVO)
Sie haben das Recht, unter den in Art. 20 DSGVO aufgeführten Voraussetzungen, die Herausgabe der Sie betreffenden Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu verlangen.

8.6 Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO)
Sie haben das Recht, bei einer Verarbeitung, die auf einer Einwilligung beruht, Ihre Einwilligung jederzeit zu widerrufen. Der Widerruf gilt ab dem Zeitpunkt seiner Geltendmachung. Er wirkt mit anderen Worten für die Zukunft. Die Verarbeitung wird durch den Widerruf der Einwilligung also nicht rückwirkend rechtswidrig.

8.7 Beschwerde (Art. 77 DSGVO)
Wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt, haben Sie das Recht auf Beschwerde bei einer Aufsichtsbehörde. Sie können dieses Recht bei einer Aufsichtsbehörde in dem EU-Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes geltend machen.

8.8 Verbot automatisierter Entscheidungen/Profiling (Art. 22 DSGVO)
Entscheidungen, die für Sie rechtliche Folge nach sich ziehen oder Sie erheblich beeinträchtigen, dürfen nicht ausschließlich auf eine automatisierte Verarbeitung personenbezogener Daten – einschließlich eines Profiling – gestützt werden. Wir teilen Ihnen mit, dass wir im Hinblick auf Ihre personenbezogenen Daten keine automatisierte Entscheidungsfindung einschließlich Profiling einsetzen.

8.9 Widerspruchsrecht (Art. 21 DSGVO)
Wenn wir personenbezogene Daten von Ihnen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (zur Wahrung überwiegender berechtigten Interessen) verarbeiten, haben Sie das Recht, unter den in Art. 21 DSGVO aufgeführten Voraussetzungen dagegen Widerspruch einzulegen. Dies gilt jedoch nur, soweit Gründe vorliegen, die sich aus Ihrer besonderen Situation ergeben. Nach einem Widerspruch verarbeiten wir Ihre personenbezogenen Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen. Wir müssen die Verarbeitung ebenfalls nicht einstellen, wenn sie der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient. In jedem Fall – auch unabhängig von einer besonderen Situation – haben Sie das Recht, jederzeit Widerspruch gegen die Verarbeitung Ihrer personenbezogenen Daten für Direktwerbung einzulegen.


Stand: Juli 2023