Information zur Erhebung personenbezogener Daten nach der DSGVO für Hinweisgeber im Hinweisgebersystem

Die EU-Datenschutz-Grundverordnung verpflichtet uns, Ihnen umfassende Informationen zur Verarbeitung personenbezogener Daten im Rahmen unserer Tätigkeit zur Verfügung zu stellen. 

Diese Information bezieht sich auf die Verarbeitung personenbezogener Daten durch uns im Rahmen des Hinweisgebersystems zur Umsetzung der Richtlinie 2019/1937 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 23. Oktober 2019 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden der gesetzlichen Anforderungen an interne Meldestellen gemäß §§ 12 (1), 13 des Gesetzes für einen besseren Schutz hinweisgebender Personen (BGBl. 2023 I Nr. 140 vom 02.06.2023; im Folgenden: HinSchG) und hiernach erlassener landesgesetzlicher Regelungen für Landes- und Kommunalbehörden sowie deren Unternehmen.

ECOVIS betreibt das Hinweisgebersystem in unserem Auftrag, da wir als datenschutzrechtlich Verantwortliche hierüber unseren Beschäftigten und ggf. auch Dritten (sog. Hinweisgeber) die – auch anonyme – Übermittlung von Hinweisen auf mögliche Rechtsverstöße oder ethisches Fehlverhalten durch Mitarbeiter des Unternehmens (Betroffene) mit dem Ziel der Prüfung solcher Hinweise und ggf. der Einleitung von Folgemaßnahmen zur Beseitigung von Mängeln oder Ahndung von Verstößen gegen unternehmensinterne oder auch gesetzliche Regelungen eröffnen. 

Dies trifft in gleicher Weise auf die Nutzung als Ombudsstelle im Rahmen des sachlichen Anwendungsbereiches des § 2 (1) Nr. 1 – 10 HinSchG zu.

Im Hinweisgebersystem werden somit ggf. Daten des Hinweisgebers und auch Daten von Dritten, d. h.

• unseren Mitarbeitern als Betroffene,

• möglichen Zeugen zu Sachverhalten

aufgrund der vertraglichen Regelung zwischen uns und Ecovis als Auftragsverarbeiter verarbeitet.

Im Rahmen der Funktionsübertragung nimmt ECOVIS die Hinweise von Hinweisgebern entgegen, anonymisiert diese und übermittelt die zur Prüfung möglicher Rechtsverstöße erforderlichen Informationen an die bei uns verantwortlichen Stellen. Nach Aufklärung der Sachverhalte durch uns, informieren wir ECOVIS über die ergriffenen Folgemaßnahmen. ECOVIS informiert dann – soweit dies möglich ist – den Hinweisgeber über die ergriffenen Folgemaßnahmen. 

1. Kontaktdaten 

Verantwortlicher 

BMP Production GmbH / Helago-Pharma GmbH & Co. KG / BMP Oral Care GmbH
Neuhofer Weiche 48
19370 Parchim

  Datenschutzbeauftragter des Unternehmens

Anja da Cunha
Ecovis Keller Rechtsanwälte PartG mbB 

August-Bebel-Strasse 10-12, 18055 Rostock

  Tel.:  0381 128849-41 Fax:  0381 128849-69 E-Mail:  dsb-nord@ecovis.com

Auftragsverarbeiter als interne Meldestelle

Ecovis Keller Rechtsanwälte PartG mbB 

August-Bebel-Strasse 10-12, 18055 Rostock

  Tel.:  0381 128849-0 E-Mail:  meldestelle380@ecovis.com 

Internet: Meldestelle – Datenschutz-Beratung (ecovis.com) 

  Externer Datenschutzbeauftragter

Sebastian Fröhlich  

E-Mail: datenschutz@ecovis.com  

2. Verarbeitungsrahmen 

Wenn Sie Hinweisgeber sind: 

Im Rahmen des Hinweisgebersystems erhebt die durch uns beauftragte Meldestelle bei ECOVIS in Abhängigkeit der vom Hinweisgeber, Dritten oder von uns übermittelten Informationen die folgenden Kategorien von Daten:

• Identifikationsdaten Kontaktdaten Anrede / Geschlecht Adressdaten, 
• Berufliche Tätigkeiten Wohnadresse Gegenwärtige Arbeitsstelle, 
• Angaben zu möglichen Straftaten, Ordnungswidrigkeiten oder Handlungen unter Verstoß gegen unternehmensinterne ethische Regelungen, 
• Angaben zu möglichen Zeugen der angezeigten Sachverhalte. 

Diese Daten können einen Personenbezug aufweisen, insbesondere wenn es sich bei den Dritten um natürliche Personen handelt oder solche Personen als Organ, sonstiger Vertretungsberechtigter, Ansprechpartner, Rechtsvertreter oder in ähnlicher Funktion für Dritte tätig werden. 

Die interne Meldestelle ECOVIS erhebt die Daten grundsätzlich im direkten Kontakt mit dem Hinweisgeber. Personenbezogene Daten betroffener Mitarbeiter unseres Unternehmens erhebt die Meldestelle erstmalig ebenfalls vom Hinweisgeber. Diese werden ggf. verifiziert und angereichert durch Informationen, die die Meldestelle von uns erhalten hat. 

Im Rahmen der Sachverhaltsprüfung werden uns daneben ggf. auch ergänzende Daten durch Dritte offengelegt. Dies ist insbesondere dann der Fall, wenn uns Daten von Kunden und Geschäftspartnern, Rechtsvertretern, Versicherungen, öffentlichen Stellen, Gutachtern, Gerichten oder Behörden übermittelt werden. Aus öffentlichen Quellen erheben wir – soweit nicht vorhanden – Kontaktdaten und ergänzende Informationen. Eine gesetzliche Pflicht zur Bereitstellung von Daten des Hinweisgebers besteht nicht. Die Nichtbereitstellung personenbezogener Daten des Hinweisgebers hat in der Regel zur Folge, dass nicht über Folgemaßnahmen informiert werden kann. Möglicherweise kann der Sachverhalt nicht vollständig aufgeklärt werden. 

 Sofern der Hinweisgeber seine personenbezogenen Daten der Meldestelle ECOVIS zur Verfügung stellt, werden diese ausschließlich im Rahmen einer informierten und schriftlichen Einwilligung und nur im für die Aufklärung des Sachverhaltes erforderlichen Umfang durch uns als Beschäftigungsgeber verarbeitet. Die Meldestelle gewährleistet die Anonymität des Hinweisgebers sowohl durch eine Datentrennung innerhalb des Hinweisgebersystems als auch durch die Übermittlung ausschließlich anonymisierter Daten an uns. 

Bei der Datenverarbeitung in unserem Unternehmen werden keine automatischen Überwachungs- oder Bewertungssysteme eingesetzt. 

3. Rechtsgrundlage 

• Rechtsgrundlagen der Datenverarbeitung im Rahmen Erfüllung der vertraglichen Funktionsübertragung zur Bereitstellung eines Hinweisgebersystems: 
  1. Die Datenverarbeitung der Hinweisgeber bei der Meldestelle ECOVIS erfolgt auf Basis einer Einwilligung gem. Art. 6 (1) a DSGVO zu der Verarbeitung der sie betreffenden personenbezogenen Daten für den Zweck der Information über den Fortgang des Verfahrens und ggf. Rückfragen zur Klärung des Sachverhaltes. Schließlich kann es vorkommen, dass wir die Datenverarbeitung auf eine vom Hinweisgeber freiwillig, informiert und unmissverständlich für weitere konkreten Zweck abgegebene Einwilligung stützen. In diesem Fall informieren wir den Hinweisgeber im Zusammenhang mit der Einwilligung gesondert. 
  2. Die Dokumentation der Meldung sowie die Verwendung der durch den Hinweisgeber bereitgestellten eigenen personenbezogenen Daten, möglicherweise benannter Dritter als Zeugen oder als Verursacher eines zu untersuchenden Sachverhaltes erfolgt auf der Basis von Art. 6 Abs. 1 lit. c DSGVO in Umsetzung der gesetzlichen Anforderungen des Hinweisgeberschutzgesetzes, hier insbesondere nach §§ 9, 10 HinSchG. 

Wir weisen ausdrücklich darauf hin, dass Fälle denkbar sind, in denen die Verarbeitung auf mehrere, nebeneinander geltende Rechtsgrundlagen gestützt werden könnten. In einem solchen Fall behalten wir uns vor, die Verarbeitung auch im Falle des Widerrufs der Einwilligung auf eine andere, gesetzliche Rechtsgrundlage zu stützen. Darüber werden wir Sie im Falle des Widerrufs der Einwilligung entsprechend informieren. 

4. Dauer der Datenspeicherung 

Die Dokumentation der Meldung wird aufgrund gesetzlicher Vorschriften für 3 Jahre nach Abschluss des Verfahrens im Rahmen der Auftragsverarbeitung bei Ecovis verwahrt (§ 11 (5) HinSchG). 

Die Meldestelle bei Ecovis hat eigene gesetzliche Aufbewahrungsfristen, so dass die Dokumentation der Meldung gem. § 50 BRAO zur sechsjährigen Speicherung nach Ende des Jahres besteht, in dem das Verfahren abgeschlossen wurde, 

5. Weitergabe und Auslandsbezug 

• Empfänger oder Kategorien von Empfängern der personenbezogenen Daten 

Die durch die Meldestelle erhobenen Daten werden unter Beachtung der gesetzlichen Vorschriften ausschließlich dann an andere Empfänger und Dritte weitergeleitet, wenn dies unter Wahrung der Anonymität des Hinweisgebers möglich ist oder durch diesen im Einzelfall eine Einwilligung vorliegt. 

Zum technischen Betrieb der Kommunikations- und Datenverarbeitungssysteme werden externe Datenverarbeiter als Auftragsverarbeiter im Sinne von Art. 4 Nr. 10 DSGVO einbezogen, so dass die Verarbeitung der Daten durch sie keine Übermittlung im Sinne von Art. 4 Nr. 2 DSGVO darstellt. Diese wurden sorgfältig insbesondere im Hinblick auf die erforderliche Vertraulichkeit der Datenverarbeitung ausgewählt, vertraglich gebunden und werden regelmäßig überwacht.  Eine Übermittlung Ihrer personenbezogenen Daten in ein Drittland erfolgt nicht und ist nicht beabsichtigt.

Ihre Rechte

Als betroffene Person haben Sie nach der Datenschutz-Grundverordnung verschiedene Rechte. Dies sind 

• Recht auf Auskunft über die bei uns zu Ihnen gespeicherten Daten (Art. 15 DSGVO) 
• Recht auf Berichtigung unrichtiger Daten (Art. 16 DSGVO) 
• Recht auf Löschung der Daten, wenn keine Rechtsgrundlage für eine weitere Speicherung vorliegt (Art. 17 DSGVO) und
• Recht auf Einschränkung der Verarbeitung der Daten auf bestimmte Zwecke (Art. 18 DSGVO). 

Beruht die Verarbeitung Ihrer Daten auf einer Einwilligung, dann haben Sie das Recht, die von Ihnen erteilte Einwilligung jederzeit zu widerrufen. Die Rechtmäßigkeit der aufgrund der erteilten Einwilligung bis zum Widerruf erfolgten Verarbeitung wird durch den Widerruf nicht berührt. Wir weisen daneben noch einmal ausdrücklich darauf hin, dass Fälle denkbar sind, in denen die Verarbeitung auf mehrere nebeneinander geltenden Rechtsgrundlagen gestützt werden könnte. In einem solchen Fall behalten wir uns vor, die Verarbeitung auch im Falle des Widerrufs der Einwilligung auf eine andere, gesetzliche Rechtsgrundlage zu stützen. Darüber werden wir Sie im Falle des Widerrufs der Einwilligung entsprechend informieren. 

Bitte beachten Sie, dass die Informationspflicht gemäß Art. 14 Abs. 5 lit. d DSGVO gegenüber betroffenen Personen, deren personenbezogene Daten die Meldestelle im Rahmen Ihrer Tätigkeit für uns nicht bei diesen selbst erheben, nicht anzuwenden ist. Auch das Recht von betroffenen Personen auf Auskunft nach Art. 15 DSGVO ist insoweit eingeschränkt, als dies die entgegenstehenden Rechte und Freiheiten des Hinweisgebers oder Dritter beeinträchtigen würde. Soweit der Meldestelle daher Ihre Daten im Rahmen eines erteilten Auftrages Daten von Dritten übermittelt wurden, ersuchen wir Sie, die Betroffenenrechte bei uns direkt einzufordern. 

Der Meldestelle ist eine Erfüllung dieser Betroffenenrechte aus berufsrechtlichen Gründen nicht erlaubt, soweit die Meldestelle mit deren Erfüllung gegen die sie gesetzlich treffende Berufsverschwiegenheit verstoßen würde. 

Daneben haben Sie nach Art. 77 DSGVO das Recht auf Beschwerde bei einer Aufsichtsbehörde, wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden Daten gegen datenschutzrechtliche Bestimmungen verstößt. Die für uns zuständige Aufsichtsbehörde ist: 

Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern Schloss Schwerin, Lennéstraße 1, 19053 Schwerin 

Telefon: +49 385 59494 0 Telefax: +49 385 59494 58 E-Mail: info@datenschutz-mv.de 

Web: www.datenschutz-mv.de https://www.datenschutz-mv.de/kontakt/kontaktformular/ 

Schließlich haben Sie das Recht, sich jederzeit an unseren Datenschutzbeauftragten zu wenden. Dieser ist hinsichtlich Ihrer Anfrage zur Verschwiegenheit verpflichtet, soweit es um die Verarbeitung Ihrer Daten geht.  Unseren Datenschutzbeauftragten erreichen Sie unter den in Ziffer 1 genannten Kontaktdaten.