DSGVO bei Hinweisgebermeldungen: Verantwortlicher, Auftragsverarbeiter, Speicherfrist

Wer Verantwortlicher ist

Der Rechtsträger, der das Register interner Meldungen führt, ist Verantwortlicher für die personenbezogenen Daten, die in diesem Register gesammelt werden (Art. 29 Abs. 1). Die Organisation, bei der die hinweisgebende Person arbeitet, entscheidet über Zwecke und Mittel der Verarbeitung: Sie nimmt die Meldung entgegen, führt das Verfahren und ist gegenüber der hinweisgebenden Person, der von der Meldung betroffenen Person und dem Präsidenten der polnischen Datenschutzbehörde (UODO) verantwortlich.

Der Anbieter des Systems zur Bearbeitung von Meldungen handelt im Namen des Kunden und auf dessen Weisung, ist also Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Das erfordert einen Auftragsverarbeitungsvertrag (AVV), der Gegenstand und Dauer der Verarbeitung, ihre Art und ihren Zweck, die Art der Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegt. Ein Anbieter, der behauptet, ein AVV sei nicht nötig, weil er „die Daten nicht sieht“, hat nur dann recht, wenn er tatsächlich keinen technischen Zugriff darauf hat; in jedem anderen Fall ist der Vertrag Pflicht.

Ein gesonderter Fall ist ein externer Dienstleister, dem der Rechtsträger die Entgegennahme von Meldungen übertragen hat, zum Beispiel eine Kanzlei (Art. 28 des polnischen Hinweisgeberschutzgesetzes). Eine Kanzlei, die im Namen des Kunden Meldungen entgegennimmt, ist ebenfalls Auftragsverarbeiter, und der Vertrag mit ihr muss Vertraulichkeit, Fristen und Zugriffsregeln umfassen.

Rechtsgrundlage der Verarbeitung

Die Verarbeitung der Daten der hinweisgebenden Person, der von der Meldung betroffenen Person und der in der Meldung genannten Dritten erfolgt zur Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem polnischen Hinweisgeberschutzgesetz). Für die durch das Verfahren erweiterten Kategorien (interne Regelungen, ethische Standards) ist die Grundlage das berechtigte Interesse (Art. 6 Abs. 1 lit. f). Besondere Kategorien von Daten, die in einer Meldung auftauchen, zum Beispiel zum Gesundheitszustand, werden auf Grundlage von Art. 9 Abs. 2 lit. b oder f DSGVO verarbeitet, soweit dies zur Prüfung des Falls erforderlich ist.

Eine Einwilligung ist keine geeignete Grundlage: Die hinweisgebende Person kann sie während des Verfahrens nicht wirksam widerrufen, und die von der Meldung betroffene Person erteilt sie nicht.

Minimierung und 14 Tage zur Löschung

Das Gesetz führt eine eigene Minimierungsregel ein: Personenbezogene Daten, die für die Prüfung der Meldung ohne Bedeutung sind, werden nicht erhoben und im Fall einer versehentlichen Erhebung unverzüglich, spätestens innerhalb von 14 Tagen nach der Feststellung, dass sie ohne Bedeutung sind, gelöscht (Art. 8 Abs. 4). Eine Meldung, in der die hinweisgebende Person das Privatleben mehrerer Personen beschreibt, erfordert also eine Entscheidung der fallbearbeitenden Person und einen Eintrag, was wann gelöscht wurde. Ein System, das die Bearbeitung des Meldungsinhalts mit Änderungshistorie im Protokoll erlaubt, erfüllt diese Pflicht, ohne den Beweis zu vernichten.

Informationspflicht gegenüber der von der Meldung betroffenen Person

Hier ändert das Gesetz die DSGVO. Grundsätzlich informiert der Verantwortliche eine Person, deren Daten er aus einer anderen Quelle erhalten hat, über die Verarbeitung (Art. 14 DSGVO), einschließlich der Datenquelle. Das polnische Hinweisgeberschutzgesetz sieht vor, dass Art. 14 Abs. 2 lit. f DSGVO, also die Pflicht zur Angabe der Quelle, keine Anwendung findet, es sei denn, die hinweisgebende Person hat der Preisgabe ihrer Identität zugestimmt (Art. 8 Abs. 5 in Verbindung mit Art. 8 Abs. 2). Die von der Meldung betroffene Person wird also darüber informiert, dass ihre Daten im Zusammenhang mit einer Meldung verarbeitet werden, nicht aber darüber, wer gemeldet hat.

Das Verfahren kann Zeitpunkt und Art der Information der von der Meldung betroffenen Person festlegen (Art. 25 Abs. 2 Pkt. 3). Vernünftige Praxis: nicht früher, als es das Verfahren erlaubt, damit keine Beweise vernichtet werden, aber nicht später, als es das Recht auf Verteidigung verlangt.

Betroffenenrechte und Vertraulichkeit der hinweisgebenden Person

Die von der Meldung betroffene Person hat ein Recht auf Auskunft über ihre Daten (Art. 15 DSGVO), aber nicht über die Identität der hinweisgebenden Person und nicht über die Daten Dritter. Die Erfüllung eines Auskunftsersuchens erfordert, aus der Fallakte das herauszulösen, was den Antragsteller betrifft, und den Rest zu anonymisieren. Das Widerspruchsrecht und das Recht auf Löschung sind durch die rechtliche Verpflichtung des Verantwortlichen und durch die Notwendigkeit der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen eingeschränkt: Man kann die Löschung einer Meldung nicht verlangen, weil man mit ihr nicht einverstanden ist.

Auch die hinweisgebende Person hat ein Recht auf Auskunft über die Daten, die sie selbst angegeben hat, und auf Information über Folgemaßnahmen, das ergibt sich aber vor allem aus dem Gesetz (Rückmeldung) und nicht aus der DSGVO.

Speicherfrist: 3 Jahre je Fall

Die Daten im Meldungsregister werden 3 Jahre nach Ablauf des Kalenderjahres aufbewahrt, in dem die Folgemaßnahmen oder die durch diese Maßnahmen eingeleiteten Verfahren abgeschlossen wurden (Art. 29 Abs. 5). Eine längere Aufbewahrung braucht eine andere Grundlage, zum Beispiel einen laufenden Rechtsstreit; eine kürzere verstößt gegen das Gesetz. Die Speicherfrist wird für jeden Fall gesondert berechnet, der Mechanismus sollte also an den Ablauf erinnern und eine bewusste Löschung verlangen, mit Eintrag im Protokoll.

Befugnisse und Verschwiegenheit

Zur Entgegennahme und Prüfung von Meldungen sowie zur Durchführung von Folgemaßnahmen dürfen ausschließlich Personen zugelassen werden, die eine schriftliche Befugnis des Rechtsträgers besitzen und zur Verschwiegenheit verpflichtet sind (Art. 8 Abs. 6). Das ist dieselbe Konstruktion wie die Befugnis zur Datenverarbeitung nach Art. 29 DSGVO, nur macht das Gesetz sie verpflichtend und schriftlich. Ein Register der Befugnisse mit Empfangsbestätigung durch den Beschäftigten ist das Dokument, nach dem eine Prüfung als Erstes fragt.

Datenübermittlung und Unterauftragsverarbeiter

Der Verantwortliche ist dafür verantwortlich, wo sich die Daten physisch befinden. Ein Anbieter, der das System außerhalb des Europäischen Wirtschaftsraums hostet oder Subunternehmer außerhalb des EWR einsetzt, braucht eine Übermittlungsgrundlage (Angemessenheitsbeschluss, Standardvertragsklauseln) und muss dies in der Liste der Unterauftragsverarbeiter angeben. Der Auftragsverarbeitungsvertrag sollte den Anbieter verpflichten, über Änderungen bei Unterauftragsverarbeitern im Voraus zu informieren, mit Widerspruchsrecht.

Eine eigene Kategorie ist die Ende-zu-Ende-Verschlüsselung: Wenn der Inhalt der Meldung und die Identität der hinweisgebenden Person mit einem Schlüssel verschlüsselt sind, den ausschließlich der Kunde besitzt, verarbeitet der Anbieter nur das Chiffrat und Metadaten. Aus Sicht der DSGVO ist er weiterhin Auftragsverarbeiter, aber das Risiko einer Verletzung auf seiner Seite beschränkt sich auf Daten, die er nicht lesen kann. Das ist ein Argument, das ein Datenschutzbeauftragter ohne Erklärung versteht.

Datenschutz-Folgenabschätzung (DSFA)

Die Verarbeitung von Hinweisgebermeldungen erfüllt die Kriterien eines hohen Risikos: Sie betrifft Personen in einem Abhängigkeitsverhältnis, umfasst Daten über Rechtsverstöße und kann zu schwerwiegenden Folgen für die Betroffenen führen. Der Präsident der polnischen Datenschutzbehörde (UODO) führt die Meldung von Missständen auf der Liste der Verarbeitungsvorgänge, die eine Datenschutz-Folgenabschätzung erfordern. Die DSFA sollte vor dem Start des Kanals fertig sein und bei einem Wechsel des Anbieters oder einer Änderung des Verfahrensumfangs aktualisiert werden. Die Dokumentation des Anbieters (Beschreibung der Sicherheitsmaßnahmen, Datenstandort, Liste der Unterauftragsverarbeiter, Auftragsverarbeitungsvertrag) ist ihre Anlage.

So sieht es in sygnadesk aus

Der Kunde ist Verantwortlicher, der Betreiber Auftragsverarbeiter auf Grundlage eines öffentlich zugänglichen Auftragsverarbeitungsvertrags, mit Liste der Unterauftragsverarbeiter und Datenstandort ausschließlich in der Europäischen Union. Das Befugnisregister stellt schriftliche Befugnisse aus und erfasst sie, mit Empfangsbestätigung. Die Speicherfrist wird je Fall ab dem Ende des Abschlussjahres berechnet; nach 3 Jahren löscht das System den Fall selbst, und die Organisation kann die Löschung im Panel um 30 Tage aufschieben, mit Eintrag im Protokoll. Im Ende-zu-Ende-Modus sind Inhalt und Identität mit dem Schlüssel des Kunden verschlüsselt, sodass der Betreiber technisch keinen Zugriff auf die Daten hat, die er schützt.