Das Datenschutzrecht beeinflusst die Ausgestaltung der internen Meldestelle innerhalb der Organisation. Vor allem das Vertraulichkeitsgebot wirkt sich auf datenschutzrechtliche Vorgaben und Maßnahmen aus. Ehrenamtliche sollten bei der Umsetzung der Anforderungen des HinSchG berücksichtigt werden.
Am 17. Dezember 2023 ist es so weit und die Einrichtung von internen Meldestellen nach dem Hinweisgeberschutzgesetz (HinSchG) wird auch für Organisationen (Unternehmen, Verbände, usw., nachfolgend auch Beschäftigungsgeber) ab 50 Beschäftigten verpflichtend. Im Vorfeld wurde auf vielen Kanälen bereits zu der Implementierung und Gestaltung der Meldestellen auf Grundlage des HinSchG informiert. Dieser Beitrag geht einen anderen Weg und befasst sich damit, wie eine Meldestelle datenschutzrechtlich begleitet werden muss. Denn eine interne Meldestelle verarbeitet in ihrer Tätigkeit zahlreiche personenbezogene Daten, die mitunter sehr sensibel sein können. Für eine genauere Betrachtung ist es notwendig, sowohl die Regelungen des Datenschutzes als auch die Regelungen des Hinweisgeberschutzes genau zu betrachten, da sich diese teilweise gegenseitig beeinflussen.
- Wer wird durch das HinSchG geschützt, wer kann Hinweise abgeben und was ist mit Ehrenamtlichen?
Der Begriff der geschützten Personen ist weit gefasst, lässt sich aber bei einer internen Meldestelle auf Personen begrenzen, die in ihrer beruflichen Tätigkeit in Kontakt mit der Organisation stehen. Diese Personengruppen sind grundsätzlich, bei der Abgabe eines Hinweises oder ihrer Involvierung in diesen, nach dem HinSchG geschützt.
Das bedeutet aber nicht, dass diese Personengruppen automatisch Hinweise an die interne Meldestelle abgeben können. Diese begrenzen sich in ihrer Zuständigkeit grundsätzlich auf Beschäftigte und überlassene Leiharbeitnehmer. Zusätzlich kann bei Bedarf des Beschäftigungsgebers, die Meldestelle auch für Personen geöffnet werden, die aufgrund ihrer beruflichen Tätigkeit mit dem Unternehmen in Kontakt stehen. Damit könnten auch Lieferanten, Subdienstleister und andere Personengruppen Hinweise abgeben.
Ob ehrenamtliche Mitarbeiter, bspw. eines Vereins, Hinweise abgeben können, wird derzeit in der Fachwelt intensiv diskutiert. Dabei kommt es aus unserer Sicht vor allem auf die Tätigkeit der Ehrenamtlichen an und ob diese aufgrund dieser als Beschäftigte eingeordnet werden können oder eine Tätigkeit ausüben, die als beruflich eingeordnet werden kann. Übt eine ehrenamtliche Kraft regelmäßig eine Tätigkeit innerhalb einer vorgegebenen Arbeitsstruktur über mehrere Wochenstunden aus und ist, ohne diese Leistung die Tätigkeit der Organisation nicht aufrecht zu erhalten, spricht aus unserer Perspektive vieles dafür, diese als beschäftigte Person oder zumindest als Person, welche eine berufliche Tätigkeit ausübt, einzuordnen.
- Welche dieser Personen sind Betroffene und was hat der Schutz nach dem HinSchG mit Datenschutz zu tun?
Betroffene sind, aus der Sicht der Organisation, alle Personen, deren personenbezogene Daten verarbeitet werden. Die Betroffenen sind also Personen, die sich an die interne Meldestelle wenden können, Personen, die durch das HinSchG geschützt sind und auch Personen, die nicht durch das HinSchG behandelt werden. All diese Personen sind aus Datenschutzsicht besonders geschützt und das macht es erforderlich, dass u.a. folgende Vorgaben durch den Beschäftigungsgeber und somit mittelbar durch die interne Meldestelle eingehalten werden müssen:
- Einhaltung der Grundsätze zur Verarbeitung personenbezogener Daten aus Art. 5 DSGVO
- Sicherstellung angemessener technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO
- Beachtung der Informationspflichten nach Art. 13, 14 DSGVO
- Erteilung einer Auskunft nach Art. 15 DSGVO auf Antrag eines Betroffenen sowie die Einhaltung der weiteren Betroffenenrechte
Die Einhaltung dieser Vorgaben können aber erheblich durch die Einordnung einer betroffenen Person als geschützte Person beeinflusst werden. Besonders die Informationspflichten und die Auskunftserteilung werden maßgeblich durch das Vertraulichkeitsgebot des HinSchG beeinflusst, wenn involvierte Personen Meldungen an die interne Meldestelle abgeben haben oder Teil dieser Meldung sind. Daher spielt es für den Datenschutz eine große Rolle, ob das Vertraulichkeitsgebot des HinSchG bei den Informationspflichten und der Auskunftserteilung beachtet werden muss.
- Welcher Zusammenhang besteht zwischen dem Datenschutz und der internen Meldestelle?
Die Meldestelle erfasst die Hinweise, beschafft weitere Informationen und ergreift Folgemaßnahmen, was in Summe dazu führt, dass die dadurch involvierten Personen dem Schutz des HinSchG unterfallen und somit wie dargestellt auch aus datenschutzrechtlicher Sicht anders behandelt werden. Dadurch ist die Tätigkeit der Meldestelle entscheidend für das eigene Datenschutzmanagement. Weiterhin führt die Pflicht zur Errichtung einer internen Meldestelle dazu, dass folgende datenschutzrechtliche Maßnahmen ergriffen werden müssen:
- Aufnahme in das Verzeichnis der Verarbeitungstätigkeiten
- Durchführung einer Risikobewertung und i.d.R. Durchführung einer Datenschutzfolgenabschätzung
- Anpassung der technischen und organisatorischen Maßnahmen nach den Belangen der internen Meldestelle
Im Datenschutz nimmt die Frage, wann und ob eine solche Meldestelle implementiert werden muss, eine wichtige Rolle ein. Die Grenze liegt dabei bei 50 Beschäftigten, welche sich pro Kopf berechnet. Hierbei kann die Einordnung der Ehrenamtlichen entscheidend sein, da Organisationen mit Ehrenamtlichen die Grenze zur Implementierung einer Meldestelle überschreiten können.
- Was spricht gegen, was für die Hinzuzählung von Ehrenamtlichen bei der Berechnung der Beschäftigtenzahl?
Dagegen spricht zunächst die Definition aus § 3 Abs. 8 HinSchG, in der bestimmt wird, welche Personen als Beschäftigte gelten. Die Gesetzesbegründung bietet in ihrer Erläuterung zu § 3 Abs. 8 HinSchG ebenfalls wenig Anlass dazu zu zweifeln. Wagt man den Blick über diesen Abschnitt hinaus und betrachtet weitere Teile der Gesetzesbegründung, erscheint die Einordnung nicht mehr so klar. Geht man sogar so weit, die Erwägungsgründe der EU-Richtlinie (RL), welche die Gesetzgebung angestoßen hat, zu betrachten, ergeben sich einige Zweifel an der Eindeutigkeit des Beschäftigungsbegriffs.
Die Gesetzesbegründung zu § 1 Abs. 1 HinSchG tut genau das und verweist auf Art. 4 der RL welcher unter Buchstabe c) unter anderem explizit auf Freiwillige, also Ehrenamtliche, verweist. In Erwägungsgrund 40 wird der europäische Gesetzgeber noch deutlicher und macht klar, dass der Hinweisgeberschutz auch für Personen gilt, die nicht auf ihre berufliche Tätigkeit angewiesen sind, aber dennoch Repressalien erleiden können. Beispielhaft nennt er dafür, dass Dienste nicht mehr in Anspruch genommen werden können oder der Ruf bzw. die berufliche Perspektive auf andere Weise geschädigt werden kann. Hierbei ist nicht viel Fantasie erforderlich, um sich solche Repressalien für Ehrenamtliche vorzustellen. Dennoch ist zu beachten, dass Ehrenamtliche weniger stark von Repressalien beeinträchtigt sein können als Beschäftigte.
Der Fakt, dass der Gesetzestext des HinSchG Freiwillige gar nicht erwähnt, gibt daher unserer Einschätzung nach Zweifel an der vollständigen Umsetzung der RL auf. Zu erwähnen ist auch, dass Ehrenamtliche in § 3 Abs 8 Nr. 4 HinSchG erwähnt werden, nämlich indem ehrenamtliche Richterinnen und Richter als Beschäftigte ausgeschlossen werden können. Daraus kann gemutmaßt werden, dass der Gesetzgeber es bei diesem expliziten Ausschluss hinsichtlich Ehrenamtlicher belassen wollte.
Unter Beachtung des Hintergrunds des Hinweisgeberschutzes, nämlich der Ermutigung rechtswidriges Verhalten zu melden und in diesem Fall geschützt zu sein, würde der Ausschluss von Ehrenamtlichen dazu führen, dass diese sich nur an eine externe Meldestelle wenden können und Organisationen nicht dazu in die Lage versetzt werden, diesen Rechtsverstößen intern nachzugehen. Denn auch in Organisationen mit vielen Ehrenamtlichen können (leider) Verstöße, die in den Anwendungsbereich des HinSchG fallen, geschehen.
- Hinweisgeber- und Datenschutz sind auch im Umgang mit Ehrenamtlichen von Bedeutung.
Datenschutz ist grundsätzlich technikneutral und der Schutz des Datenschutzrechts sollte daher bei allen Verarbeitungen auch Personen erfassen, die ehrenamtlich tätig sind. Im Ergebnis kommen wir daher zu der Einschätzung, dass Ehrenamtliche regelmäßig in die Berechnung der Beschäftigtenanzahl nach dem HinSchG mit einbezogen werden sollten, wenn sie eine Tätigkeit ausüben, die u.U. als beruflich angesehen werden kann. Das führt dazu, dass auch Ehrenamtliche den besonderen Schutz des Vertraulichkeitsgebots in der Organisation erhalten müssen.
Haben Sie offene Fragen im Wechsel zwischen Hinweisgeberschutz und Datenschutz? Dann wenden Sie sich gerne an uns.
Hinweise: Dieser Beitrag wurde nach aktuellem Kenntnisstand bei der Veröffentlichung erstellt. Für die Richtigkeit und Vollständigkeit des Beitrags übernehmen wir keine Gewähr. Wir weisen darauf hin, dass dieser Beitrag nicht alle Besonderheiten des Einzelfalls berücksichtigt und daher keine individuelle Beratung zu einem konkreten Sachverhalt ersetzt. Die Vorschriften des Hinweisgeberschutzgesetzes werden nur zur Auslegung datenschutzrechtlicher Vorgaben und Sachverhalte verwendet. Aus Gründen der besseren Lesbarkeit wird in diesem Beitrag bei der allgemeinen Bezeichnung von Personengruppen auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet und stattdessen das generische Maskulinum verwendet. Sofern nicht explizit anders erwähnt, sind damit jedoch auch stets weibliche oder anderweitige Geschlechteridentitäten gemeint. Diese Vorgehensweise dient lediglich der Vereinfachung und soll keine Diskriminierung darstellen.