Wie wird die Vertraulichkeit der hinweisgebenden Personen und der in den Meldungen genannten Personen beim Whistleblowing gewährleistet?

Damit ein Hinweisgeberschutzsystem wirksam und funktionstüchtig ist, ist es unerlässlich, dass die Identitäten aller von einer Meldung betroffenen Personen weitgehend geschützt werden.

Gemäß § 8 Abs. 1 Satz 1 Nummer 1 HinSchG darf einer hinweisgebenden Person aus der Meldung keine Nachteile entstehen. Daher ist als erster Schritt die Identität der hinweisgebenden Person im Regelfall und so weitgehend wie möglich vor einem Bekanntwerden zu schützen.

Berechtigte Schutzinteressen haben darüber hinaus auch die sonstigen betroffenen Personen. Dies sind zum einen nach § 8 Abs. 1 Satz 1 Nummer 2 HinSchG die Personen, die durch eine Meldung belastet werden und somit Gegenstand einer Meldung sind. Schließlich erstreckt sich der Schutz in § 8 Abs. 1 Satz 1 Nummer 3 HinSchG auch auf die Identität von sonstigen Personen, die in einer Meldung benannt werden. Hierbei geht es um beteiligte oder auch unbeteiligte Dritte, die beispielsweise Kollegen, Vorgesetzte oder auch Arbeitgeber selbst sein können. Diese Dritten können Verstöße beobachtet haben oder sie können in sonstiger Weise von der Meldung betroffen sein. Da diese Dritten gegebenenfalls im weiteren Verfahren eine wichtige Rolle spielen können, ist ihre Identität ebenfalls weitgehend zu schützen. Der Schutz der Identität dieser Personen soll falsche Verdächtigungen und Verleumdungen, aber auch eine Einflussnahme auf potentielle Zeuginnen und Zeugen verhindern.

Der Schutz nach § 8 Abs. 1 Satz 1 HinSchG umfasst für alle diese Personen die Wahrung der Vertraulichkeit der Identität in jedem Verfahrensstadium und bei interner und externer Meldestelle gleichermaßen.

Um den Kreis derjenigen Personen, die Kenntnis über die Identitäten der von der Meldung betroffenen Personen haben, möglichst klein zu halten, legt § 8 Abs. 1 Satz 2 HinSchG fest, dass die Identitäten nur den tatsächlich zuständigen Personen bekannt werden dürfen. Dadurch wird ein Weiterreichen einer eingegangenen Meldung innerhalb der Meldestelle auf das zwingend notwendige Maß beschränkt. Ein Bekanntwerden der Identitäten ist neben den für die Meldung zuständigen Personen auch gegenüber unterstützendem Personal wie Büro- und IT-Kräften zulässig, soweit dies für die Unterstützungstätigkeit notwendig ist. Soweit erforderlich ist das unterstützende Personal ebenso wie die Personen, die für die Entgegennahme von Meldungen oder für das Ergreifen von Folgemaßnahmen zuständig sind, zur Vertraulichkeit zu verpflichten.

Von der Vorschrift umfasst ist nicht nur die Identität der in den Nummern 1 bis 3 genannten Personen selbst, sondern auch alle anderen Informationen, aus denen die Identität dieser Personen abgeleitet werden kann.

Die Verarbeitung personenbezogener Daten durch die Meldestellen hat grundsätzlich unter Beachtung der geltenden Vorschriften zu erfolgen. Maßgeblich sind insofern vor allem die DSGVO und das BDSG.

Um das Vertraulichkeitsgebot nicht zu konterkarieren, ist es allerdings erforderlich, die Ausübung bestimmter datenschutzrechtlicher Auskunfts- und Informationsrechte einzuschränken.

Die notwendigen Ausnahmetatbestände haben bereits Eingang in das BDSG gefunden. Über die im Rahmen des § 29 Abs. 1 BDSG geforderte Interessenabwägung lässt sich der erforderliche Gleichlauf zwischen dem Vertraulichkeitsschutz und datenschutzrechtlichen Informationspflichten und Auskunftsrechten herstellen. Nach § 29 Abs. 1 Satz 1 BDSG treffen den datenschutzrechtlich Verantwortlichen keine Informationspflichten, soweit durch ihre Erfüllung Informationen offenbart würden, die ihrem Wesen nach geheim gehalten werden müssen.

Nach § 29 Abs. 1 Satz 2 BDSG besteht das Recht zur Auskunft der betroffenen Person nicht, soweit durch die Auskunft Informationen offenbar würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten (was regelmäßig hinsichtlich der hinweisgebenden Person – auch nach Abschluss der Ermittlungen – anzunehmen ist) geheim gehalten werden müssen. Soweit Informationen dem Vertraulichkeitsgebot unterliegen, sind diese nach § 29 Abs. 1 BDSG grundsätzlich geheim zu halten. Sofern die Daten im Einzelfall bei der betroffenen Person erhoben wurden, kann gemäß § 32 Abs. 1 BDSG die Informationspflicht nach Artikel 13 DSGVO ausgeschlossen sein.

Hat sich eine hinweisgebende Person unter der fälschlichen Annahme der Zuständigkeit einer Meldestelle an diese gewandt, genießen die in den Nummern 1 bis 3 genannten Personen gemäß § 8 Abs. 2 HinSchG den gleichen Schutz betreffend die Vertraulichkeit ihrer Identität wie in den Fällen, in denen die Meldestelle zuständig ist.