Interne oder externe Verwaltung des Hinweisgebersystems?

Aktualisiert am 12. Januar 2024

Das Hinweisgebersystem kann intern oder extern verwaltet werden. Beide Lösungen haben Vorteile.

Wird das System intern verwaltet, können Kosten reduziert werden. Allerdings liegt es in einem solchen Fall in der alleinigen Verantwortung des Unternehmens, die Sicherheit des Systems und insbesondere die IT-Sicherheit zu gewährleisten. Diesbezüglich können sich die Unternehmen an dem Leitfaden der französischen Datenschutzbehörde CNIL betreffend der Verarbeitung personenbezogener Daten im Rahmen der Einführung eines Hinweisgebersystems orientieren:

• Es muss sichergestellt werden, dass der Zugang zur Datenverarbeitung nur über individuelle Benutzernamen, Passwörter, die den Anforderungen der Empfehlungen der CNIL entsprechen und durch die Beschränkung der Zugriffsversuche auf Benutzerkonten erfolgt
• Die Zugriffe müssen erfasst (Datenaufzeichnung) und ihre Rechtmäßigkeit kontrolliert werden
• Es muss sichergestellt werden, dass die Identität der hinweisgebenden Person, der von dem Hinweis betroffenen Personen, der in dem Hinweis genannten Dritten sowie alle mitgeteilten Informationen vertraulich behandelt werden
• Alle potenziellen Nutzer des Hinweisgebersystems müssen klar und umfassend informiert werden
• Die in der DSVGO vorgesehene Rechte auf Auskunft, auf Berichtigung sowie auf Löschung müssen sichergestellt werden
• Die Einhaltung der Speicherfristen muss sichergestellt werden.

Ein besonderes Augenmerk sollte auf folgende Anforderungen gelegt werden: das Unternehmen muss in technisch in der Lage sein, die datenschutzrechtlichen Bestimmungen einzuhalten und die Identität hinweisgebenden Person, der von dem Hinweis betroffenen Personen, der in dem Hinweis genannten Dritten sowie die gemeldeten Tatsachen vertraulich zu behandeln. In kleineren Unternehmen, die nicht über die notwendigen Technologien verfügen und in denen die hinweisgebende Person bzw. die von den Meldungen betroffenen Personen leicht identifiziert werden kann, dürften diese Anforderungen nur schwer zu erfüllen sein.

Wird das Hinweisgebersystem von einen Dienstleister, einer digitalen Online-Plattform oder einer Rechtsanwaltskanzlei betrieben, hat dies den Vorteil einer professionellen Verwaltung des Systems durch einen Dritten, der über die erforderlichen Sicherheitsvorkehrungen, Erfahrungen und Unabhängigkeiten verfügt, um die Einhaltung der Datenschutzbestimmungen sowie die vertrauliche Behandlung der mitgeteilten Informationen zu gewährleisten.