07.02.2019 von und

Datenschutzbehörden erlassen neue Regeln für Whistleblowing-Hotlines: Aufruf zum Handeln

Vor dem Hintergrund der Datenschutzgrundverordnung („DSGVO“) veröffentlichten die deutschen Datenschutzbehörden im Januar 2018 eine Orientierungshilfe zu Whistleblowing-Hotlines. Im November 2018 hatten die Behörden diese Orientierungshilfe aktualisiert und hierbei einige der Kritikpunkte an der ursprünglichen Fassung adressiert. Was hat sich nun geändert?

Im Zusammenhang mit der Umsetzung der DSGVO haben die deutschen Datenschutzbehörden ihre Position u.a. darin geändert, dass Arbeitnehmer ihre Meldungen über Missstände grundsätzlich anonym einreichen sollen. Deutsche Unternehmen sollten deshalb bestehende Whistleblowing-Hotlines, die sie ihren Mitarbeitern anbieten, überprüfen und voraussichtlich anpassen.

Vor Umsetzung der DSGVO sollten Whistleblower grundsätzlich nicht ermutigt werden, anonyme Berichte einzureichen. In einigen EU-Ländern, wie z.B. Portugal, war die anonyme Berichterstattung sogar verboten.

Die Orientierungshilfe der deutschen Datenschutzbehörden von Januar 2018 hat diese Position angesichts der Umsetzung der DSGVO ins Gegenteil verkehrt. Sie sieht stattdessen vor, dass die Mitarbeiter künftig aufgefordert werden müssen, Berichte anonym einzureichen.

Wenn ein Mitarbeiter seine Identität als Whistleblower offenlegen möchte, muss er darüber informiert werden, dass seine Identität den im Bericht genannten Personen mitgeteilt wird und seine Einwilligung in diese Offenlegung erforderlich ist.

Denn die deutschen Datenschutzbehörden legen Art. 14 DSGVO so aus, dass die im Bericht genannten Personen nicht nur über den Whistleblower-Bericht informiert werden müssen, sondern auch über die konkrete Identität des Whistleblowers als Quelle der personenbezogenen Daten.

Datenschutzbehörden konkretisieren Ausnahmen von der Informationsplicht

Die deutschen Datenschutzbehörden befassen sich in ihrer aktualisierten Orientierungshilfe von November 2018 speziell mit der Frage, welche Ausnahmen es von der Informationspflicht nach Art. 14 DSGVO geben kann.

In der im Januar 2018 veröffentlichten Orientierungshilfe sind die Datenschutzbehörden bereits auf die Möglichkeit eines vorübergehenden Aufschubs der Informationspflicht eingegangen für den Fall, dass hierdurch die Untersuchung gefährdet würde (Art. 14 Abs. 5 lit. b DSGVO).

Berücksichtigt wurde auch, dass das Unionsrecht oder das Recht der Mitgliedstaaten Ausnahmen im Hinblick auf das Berufsgeheimnis (Art. 14 Abs. 5 lit. d DSGVO) oder zum Zwecke des Schutzes der betroffenen Person oder Rechte und Freiheiten anderer Personen (Art. 23 Abs. 1 lit. i DSGVO) vorsehen kann. Solche Ausnahmen enthält das Bundesdatenschutzgesetz (BDSG) allerdings nicht.

Als weiteren Ausnahmetatbestand nennt die aktualisierte Fassung der Orientierungshilfe jetzt § 29 Abs. 1 S. 1 BDSG. Hiernach besteht keine Informationspflicht gegenüber im Bericht genannten Personen, wenn dadurch Informationen offenbart werden, die wegen überwiegend berechtigten Interessen eines Dritten geheim gehalten werden müssen.

Abgesehen von der Feststellung, dass wegen § 29 Abs. 1 S. 1 BDSG die Informationspflicht zur Identität des Hinweisgebers eingeschränkt sein kann, geben die deutschen Datenschutzbehörden nach wie vor keine konkreten Beispiele, wann sie diese Ausnahmen für anwendbar halten. Eine solche Konkretisierung wäre wünschenswert gewesen.

Autor: und

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.