Gemäß Art. 13 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten - Hinweisgeberschutzgesetz vom 31. Mai 2023 (BGBl. 2023 I Nr. 140).
Sehr geehrter Whistleblower,
hiermit möchte Finstral GmbH, als Verantwortlicher der Datenverarbeitung Sie darüber informieren, dass die von Ihnen zur Verfügung gestellten personenbezogenen Daten gemäß den in der Verordnung (EU) 2016/679 festgelegten Grundsätzen verarbeitet werden: Rechtmäßigkeit, Fairness und Transparenz.
1. Zweck der Verarbeitung
Die personenbezogenen Daten, die Sie auf der Plattform „ReBlowing“ eingeben, werden gesammelt und verarbeitet, um Hinweise über rechtswidriges Verhalten zu verwalten (als interne Meldungsstelle), die sich auf Aktivitäten u./o. Verhaltensweisen beziehen, die mit den von der Gesellschaft eingeführten Verfahren nicht übereinstimmen, d.h. Verstöße gegen die beruflichen Verhaltensregeln u./o. ethischen Grundsätze, auf die in der geltenden Gesetzgebung - sowohl intern als auch extern - Bezug genommen wird, u./o. rechtswidriges oder betrügerisches Verhalten, das sich auf die in der Bezugsgesetzgebung genannten Personen bezieht.
2. Rechtsgrundlage der Verarbeitung
Die Rechtsgrundlage für diese Verarbeitung ist Artikel 6 Absatz 1 Buchstabe c der Verordnung (EU) 2016/679 (Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche der Datenverarbeitung unterliegt), insbesondere unter Bezugnahme auf die rechtliche Verpflichtung, die sich aus den Bestimmungen des Gesetzes für einen besseren Schutz hinweisgebender Personen (Hinweisgeberschutzgesetz - HinSchG), die für den Verantwortlichen der Datenverarbeitung gelten.
Für die oben genannten Zwecke ist die Angabe der Daten fakultativ, da die Hinweise anonym erfolgen können. Es wird jedoch darauf hingewiesen, dass anonyme Hinweise nur dann berücksichtigt werden, wenn der Gegenstand derselben ausreichende Anhaltspunkte für eine Überprüfung liefert.
Der Whistleblower muss daher angeben, ob er "mit der Offenlegung seiner Identität gegenüber Personen einverstanden ist, die nicht für die Entgegennahme oder Weiterverarbeitung des Berichts zuständig sind". Diese Möglichkeit wird dem Whistleblower während der Bearbeitung des Hinweises erleuchtet. Entscheidet sich der Whistleblower, einer solchen Verarbeitung nicht zuzustimmen, wird der Hinweis (gegebenenfalls) nur an die autorisierte externe Partei (als Auftragsverarbeiter) und den internen Beauftragten weitergegeben. Rechtsgrundlage der Datenverarbeitung: Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben - Art. 6 Abs. 1 Satz 1 lit. a der Verordnung (EU) 2016/679.
3. Art der verarbeiteten Daten
Die Daten, die Sie zur Beschreibung mutmaßlicher rechtswidriger Handlungen, von denen Sie im Rahmen Ihrer Tätigkeit Kenntnis erlangt haben, zur Verfügung stellen, werden zum Zweck der Durchführung der erforderlichen Untersuchungstätigkeiten verarbeitet, die darauf abzielen, den Wahrheitsgehalt der gemeldeten Sachverhalte zu überprüfen.
Zum Zwecke der Bearbeitung von Hinweisen können folgende Datenkategorien verarbeitet werden:
- Identifikationsdaten, Adresse und andere Kontaktdaten, Steuernummer, Funktion;
- besondere Kategorien personenbezogener Daten;
- personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten;
- alle sonstigen Informationen über die gemeldete Person, die der Whistleblower dem Verantwortlichen der Datenverarbeitung mitteilen möchte, um den Hinweis besser zu untermauern.
Die Daten, die der Hinweisgeber zur Beschreibung mutmaßlicher rechtswidriger Handlungen, von denen er im Rahmen seiner Tätigkeit Kenntnis erlangt hat und dem Verantwortlichen zur Verfügung gestellt sind, werden zum Zweck der Durchführung der erforderlichen Untersuchungstätigkeiten verarbeitet. Diese zielen darauf ab, den Wahrheitsgehalt der gemeldeten Sachverhalte zu überprüfen und die sich daraus ergebenden Maßnahmen in Übereinstimmung mit den geltenden Rechtsvorschriften zu ergreifen. Die mit der vorläufigen Prüfung und Bearbeitung des Hinweises beauftragten Personen haben dabei die Grundsätze der Unparteilichkeit und Vertraulichkeit zu beachten und alle für angemessen erachteten Maßnahmen zu ergreifen, einschließlich der persönlichen Anhörung des Hinweisgebers und aller anderen Personen, die zu dem gemeldeten Sachverhalt Stellung nehmen können.
4. Art der Verarbeitung personenbezogener Daten
Die Verarbeitung erfolgt:
- mit Hilfe manueller und elektronischer Systeme;
- unter Anwendung geeigneter organisatorischer und technischer Maßnahmen, um die Vertraulichkeit der Daten zu gewährleisten und unbefugten Dritten den Zugang zu verwehren;
- durch das Unternehmen ReNorm GmbH, das das interne Hinweisportal betreibt, als ernannter Auftragsverarbeiter gemäß Artikel 28 der Verordnung (EU) 2016/679
- durch interne Mitarbeiter, die ordnungsgemäß zur Verarbeitung personenbezogener Daten ermächtigt wurden (Artikel 29 der Verordnung (EU) 2016/679);
- durch Personen, die kraft Gesetzes zur Wahrnehmung dieser Aufgaben befugt sind.
Wenn das Ergebnis der Überprüfung zeigt, dass der gemeldete Sachverhalt nicht offensichtlich unbegründet ist, leitet der Auftragsverarbeiter das Ergebnis der Überprüfung an die zuständige Person weiter, die je nach den konkreten Erfordernissen für weitere Ermittlungen oder für die Ergreifung von Maßnahmen im Rahmen der Zuständigkeit bestimmt wird:
- an den/die Direktor/in sowie an die Leitung der Organisationseinheit, der der Rechtsverletzer angehört, damit disziplinarische Maßnahmen ergriffen werden können, wenn die Voraussetzungen erfüllt sind;
- an die zuständigen Organe und Strukturen der Organisation, damit diese weitere für notwendig erachtete Maßnahmen und/oder Aktionen, auch zum Schutz der Organisation selbst, ergreifen;
- an die Justizbehörde, den Rechnungshof und der Bundesanstalt für Finanzdienstleistungsaufsicht.
- An jede andere Person, die in der geltenden Gesetzgebung vorgesehen ist.
5. Aufbewahrungsdauer der personenbezogenen Daten
Die zu den oben genannten Zwecken erhobenen personenbezogenen Daten werden für einen Zeitraum von 3 Jahren aufbewahrt, d. h. für die Zeit, die erforderlich ist, um zu prüfen, ob die Hinweise gerechtfertigt sind, und um gegebenenfalls die sich daraus ergebenden Disziplinarmaßnahmen zu ergreifen u./o etwaige Streitigkeiten in Zusammenhang mit dem Hinweis beizulegen.
6. Weitergabe der Daten an Dritte
Vorbehaltlich der Mitteilungen, die in Erfüllung gesetzlicher Verpflichtungen erfolgen, können alle gesammelten und verarbeiteten Daten ausschließlich zu den oben genannten Zwecken gegebenenfalls an die Justizbehörde, den Rechnungshof und der Bundesanstalt für Finanzdienstleistungsaufsicht sowie an Anwaltskanzleien und Arbeitsberater u./o Berater für Transparenz und Korruptionsbekämpfung weitergeleitet werden.
7. Verbreitung der Daten
Ihre Daten werden in keinem Fall verbreitet oder an Dritte außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt oder mitgeteilt.
8. Rechte der betroffenen Person (Art. 15-22 der Verordnung (EU) 2016/679)
Gemäß den geltenden Bestimmungen erhält die betroffene Person auf Antrag jederzeit Zugang zu den sie betreffenden Daten und es steht ihr das Recht auf Berichtigung oder Vervollständigung unrichtiger bzw. unvollständiger Daten zu; sofern die gesetzlichen Voraussetzungen gegeben sind, kann sie sich der Verarbeitung widersetzen oder die Löschung der Daten oder die Einschränkung der Verarbeitung verlangen. Im letztgenannten Fall dürfen die personenbezogenen Daten, die Gegenstand der Einschränkung der Verarbeitung sind, von ihrer Speicherung abgesehen, nur mit Einwilligung der betroffenen Person, zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen des Verantwortlichen, zum Schutz der Rechte Dritter oder aus Gründen eines wichtigen öffentlichen Interesses verarbeitet werden.
Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, zu, wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt. Die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, unterrichtet den Beschwerdeführer über den Stand und die Ergebnisse der Beschwerde einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs nach Art. 78 DSGVO.
Verantwortlicher der Datenverarbeitung
Finstral GmbH, MwSt.-Nr. DE115895952, mit Sitz in Jakob-Panzer-Straße Nr. 6 – 97469 Gochsheim/Schweinfurt.
T.: +49 9721 6446 0
E-Mail: privacyde@finstral.com
Datenschutzbeauftragter - Data Protection Officer (DPO)
Kontaktdaten:
Maik Schneider
Senior Consultant
Datenschutz & Informationssicherheit
ENTHUS GmbH
Felix-Wankel-Str. 4, 97526 Sennfeld
Tel. +49 972167594179
maik.schneider@vintin.de
www.vintin.de
