Die Einführung einer Whistleblowing-Software bringt eine Reihe spezifischer datenschutzrechtlicher Auswirkungen und Herausforderungen mit sich, mit denen sich Compliance-Beauftragte befassen müssen, noch bevor eine einzige Meldung eingeht.
Im Gegensatz zu den meisten Systemen am Arbeitsplatz verarbeiten Whistleblowing-Plattformen Daten, die zugleich hochsensibel sind, mehrere Parteien mit konkurrierenden Rechten betreffen und möglicherweise Informationen besonderer Kategorien enthalten – und das alles unter strenger behördlicher Aufsicht.
Es ist weitaus effektiver – und weitaus kostengünstiger –, diese Auswirkungen bereits in der Auswahl- und Implementierungsphase zu berücksichtigen, als zu versuchen, Datenschutzlücken zu beheben, nachdem ein System bereits in Betrieb genommen wurde. In dieser Informationsquelle werden die wichtigsten datenschutzrechtlichen Aspekte beleuchtet, die bei der Einführung von Whistleblowing-Software in Unternehmen zu beachten sind.
Umgang mit mehreren betroffenen Personen mit konkurrierenden Rechten
Eine einzige Meldung im Rahmen eines Whistleblowing-Verfahrens kann personenbezogene Daten mehrerer Personen betreffen: des Hinweisgebers, der Person, der ein Fehlverhalten vorgeworfen wird, von Zeugen sowie anderer Kollegen oder Dritter, die in der Meldung genannt werden. Jede dieser betroffenen Personen hat Rechte gemäß der DSGVO und der britischen DSGVO, darunter das Recht auf Auskunft darüber, wie ihre Daten verarbeitet werden, das Recht auf Auskunft sowie das Recht auf Berichtigung.
Die Herausforderung besteht darin, dass die Wahrung der Rechte einer Person in direktem Widerspruch zum Schutz der Rechte einer anderen Person stehen kann. Das Recht einer beschuldigten Person, zu erfahren, dass Daten über sie verarbeitet werden, könnte, wenn es zum falschen Zeitpunkt ausgeübt wird, die Vertraulichkeit des Hinweisgebers gefährden oder eine laufende Ermittlung beeinträchtigen. Artikel 14 Absatz 5 Buchstabe b der DSGVO sieht eine begrenzte Ausnahme vor, die es Organisationen erlaubt, die Unterrichtung einer betroffenen Person aufzuschieben, wenn dies die Zwecke der Verarbeitung ernsthaft beeinträchtigen würde – diese Ausnahme muss jedoch im Einzelfall angewendet und gründlich dokumentiert werden.
Whistleblowing-Software muss daher differenzierte Zugriffs- und Benachrichtigungskontrollen unterstützen. Ein System, das alle betroffenen Personen gleich behandelt oder nicht über die erforderliche Detailgenauigkeit verfügt, um eine schrittweise Offenlegung zu verwalten, birgt von vornherein ein Compliance-Risiko.
Das Problem mit Daten besonderer Kategorien
Whistleblowing-Meldungen enthalten häufig Informationen, die unter die besonderen Kategorien der DSGVO fallen: Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, die Gewerkschaftszugehörigkeit, Gesundheitsdaten oder Daten über das Sexualleben oder die sexuelle Orientierung einer Person hervorgehen. Insbesondere Meldungen über Belästigung, Diskriminierung oder Mobbing am Arbeitsplatz enthalten häufig solche Daten.
Die Verarbeitung von Daten besonderer Kategorien erfordert sowohl eine Rechtsgrundlage gemäß Artikel 6 als auch eine gesonderte Voraussetzung gemäß Artikel 9. Für die meisten Organisationen wird die anwendbare Voraussetzung nach Artikel 9 darin bestehen, dass die Verarbeitung aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist, gestützt auf die einschlägigen Bestimmungen des nationalen Rechts (im Vereinigten Königreich: Anhang 1 des Data Protection Act 2018). Diese doppelte Anforderung bedeutet, dass Whistleblowing-Software so konfiguriert sein muss, dass sie Daten besonderer Kategorien mit zusätzlichen Sicherheitsvorkehrungen verarbeitet – und dass Organisationen über eine rechtliche Analyse verfügen müssen, um die Verarbeitung zu rechtfertigen, bevor das System in Betrieb genommen wird.
In den Leitlinien des Europäischen Datenschutzbeauftragten zum Thema Whistleblowing wird ausdrücklich darauf hingewiesen, dass Daten, die ein Hinweisgeber offenlegt und die zu einer besonderen Datenkategorie gehören, aber für den gemeldeten Sachverhalt irrelevant sind, nicht weiterverarbeitet werden dürfen. Software, die es den Sachbearbeitern nicht ermöglicht, irrelevante sensible Daten auszusondern und auszuschließen, führt zu einer Compliance-Lücke.
Beziehungen zwischen Verantwortlichen und Auftragsverarbeitern und Risiken durch Dritte
Wenn eine Organisation einen externen Dienstleister mit dem Betrieb ihrer Whistleblowing-Software beauftragt, entsteht gemäß Artikel 28 der DSGVO ein Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter. Dies bringt bestimmte Verpflichtungen mit sich: Es muss eine schriftliche Vereinbarung über die Datenverarbeitung vorliegen, der Auftragsverarbeiter darf nur auf der Grundlage dokumentierter Weisungen handeln, und es müssen geeignete technische und organisatorische Sicherheitsmaßnahmen überprüft werden.
Die datenschutzrechtlichen Auswirkungen gehen über den Vertrag selbst hinaus. Wenn ein Softwareanbieter Unterauftragsverarbeiter einsetzt – beispielsweise Cloud-Hosting-Dienste, Übersetzungsdienstleister oder IT-Support-Dienstleister –, muss jedes Glied in der Kette denselben Datenschutzstandards genügen. Compliance-Beauftragte sollten die Vereinbarungen des Anbieters mit Unterauftragsverarbeitern, die Standorte der Datenhosting-Dienste und die Verpflichtungen zur Meldung von Datenschutzverletzungen genau prüfen, bevor der Vertrag abgeschlossen wird.
Anbieter, die Daten innerhalb des eigenen Hoheitsgebiets der Organisation hosten, verringern das Übermittlungsrisiko erheblich. Ein in Großbritannien ansässiger Anbieter, der Server mit Standort in Großbritannien nutzt, macht beispielsweise internationale Übermittlungsmechanismen gemäß Kapitel V der DSGVO für personenbezogene Daten aus Großbritannien überflüssig – eine erhebliche Vereinfachung der Compliance-Situation.
Metadaten, Protokollierung und unbeabsichtigte Identifizierung
Selbst wenn ein Whistleblowing-System anonyme Meldungen ermöglicht, können technische Metadaten diese Anonymität untergraben, wenn sie nicht sorgfältig verwaltet werden. IP-Adressen, Browser-Fingerabdrücke, Gerätekennungen, Zeitstempel und in hochgeladene Dateien eingebettete Dokumentmetadaten können potenziell dazu genutzt werden, einen Hinweisgeber zu identifizieren.
Die Auswirkungen auf den Datenschutz sind erheblich: Wenn ein System diese Metadaten standardmäßig erfasst, verarbeitet die Organisation möglicherweise personenbezogene Daten, deren Erhebung weder beabsichtigt war noch für die eine rechtmäßige Grundlage vorliegt. Eine zuverlässige Whistleblowing-Software sollte Metadaten aus hochgeladenen Dokumenten entfernen, die Protokollierung von IP-Adressen bei anonymen Meldungen vermeiden und den technischen Fußabdruck jeder Interaktion minimieren.
Die Aufzeichnung von Telefonmeldungen wirft ähnliche Bedenken auf. Eine Sprachaufzeichnung ist eine personenbezogene Daten und kann unter bestimmten Verarbeitungsbedingungen als biometrische Daten im Sinne von Artikel 9 gelten. Anbieter, die Anrufe aufzeichnen, schaffen eine zusätzliche Ebene von DSGVO-Verpflichtungen – und ein zusätzliches Risiko für das Vertrauen der Hinweisgeber. Die bewusste Politik von Safecall, keine Audioaufzeichnungen von Anrufen zu erstellen, spiegelt das Verständnis wider, dass die Reduzierung der während des Meldeprozesses erzeugten Daten an sich schon eine Datenschutzmaßnahme darstellt, die sowohl die Einhaltung der DSGVO als auch das Vertrauen der Hinweisgeber unterstützt, von dem eine wirksame Whistleblowing-Praxis abhängt.
Benachrichtigung bei Datenschutzverletzungen und Reaktion auf Vorfälle
Eine Datenpanne, von der Aufzeichnungen über Hinweisgeber betroffen sind, gehört zu den schwerwiegendsten Vorfällen, mit denen eine Organisation konfrontiert werden kann. Die betreffenden personenbezogenen Daten sind von Natur aus sensibel, und ihre Offenlegung könnte Hinweisgeber Vergeltungsmaßnahmen aussetzen, Ermittlungen gefährden und den beschuldigten Personen, denen noch kein ordnungsgemäßes Verfahren gewährt wurde, erheblichen Schaden zufügen.
Gemäß Artikel 33 der DSGVO muss die zuständige Aufsichtsbehörde innerhalb von 72 Stunden benachrichtigt werden, nachdem der Verantwortliche Kenntnis von einer Datenschutzverletzung erlangt hat, die ein Risiko für die Rechte betroffener Personen darstellt. Wenn die Datenschutzverletzung voraussichtlich ein hohes Risiko mit sich bringt – was bei einer Datenschutzverletzung im Zusammenhang mit einer Meldung durch einen Whistleblower mit ziemlicher Sicherheit der Fall wäre –, müssen die betroffenen Personen gemäß Artikel 34 ebenfalls informiert werden. Whistleblowing-Software sollte die Reaktion auf Vorfälle durch umfassende Audit-Protokolle, Funktionen zur schnellen Erkennung von Datenschutzverletzungen und klare Eskalationsprotokolle unterstützen, die in der Datenverarbeitungsvereinbarung dokumentiert sind.
Fragen zur Sorgfaltsprüfung für Compliance-Beauftragte
Bei der Bewertung von Whistleblowing-Software sollten Compliance-Beauftragte die Auswirkungen auf den Datenschutz anhand eines strukturierten Fragenkatalogs prüfen:
- Wo werden die Berichtsdaten gespeichert, und sind hierfür Mechanismen für den internationalen Datentransfer erforderlich?
- Entfernt das System Metadaten aus hochgeladenen Dokumenten und anonymen Einsendungen?
- Werden Telefongespräche aufgezeichnet, und wenn ja, auf welcher Rechtsgrundlage und nach welchen Aufbewahrungsrichtlinien?
- Wie geht das System mit konkurrierenden Rechten der betroffenen Personen um – insbesondere bei der schrittweisen Offenlegung gegenüber Beschuldigten?
- Welche Unterauftragsverarbeiter sind beteiligt und wo befinden sich diese?
- Können Aufbewahrungsfristen so konfiguriert werden, dass sie unterschiedliche Aufbewahrungsdauer widerspiegeln?
- Welche Unterlagen stellt der Anbieter zur Unterstützung von Datenschutz-Folgenabschätzungen zur Verfügung?
Ein Anbieter, der diese Fragen eindeutig beantworten kann – und die Einhaltung der Vorschriften durch Zertifizierungen wie ISO 27001 nachweisen kann –, verringert das mit der Einführung von Whistleblowing-Software verbundene Datenschutzrisiko erheblich.
Weiterführende Ressourcen
- Whistleblowing, Datenschutz und DSGVO – Überblick über alle datenschutzrechtlichen Aspekte von Whistleblowing-Programmen.
- Wie unterstützen digitale Whistleblowing-Systeme die Einhaltung der DSGVO? – Die Funktionen und Konfigurationen, die ein DSGVO-konformes Whistleblowing ermöglichen.
- Welche Risiken birgt die interne Verwaltung von Whistleblowing-Systemen? – Warum Outsourcing sowohl den Datenschutz als auch das Vertrauen der Hinweisgeber stärken kann.
- Was macht eine Whistleblowing-Lösung für regulierte Branchen geeignet? – Zusätzliche Compliance-Anforderungen für Finanzdienstleistungen, das Gesundheitswesen und andere regulierte Sektoren.
Wie Safecall helfen kann
Safecall entwickelt seit über 25 Jahren Whistleblowing-Dienste, bei denen der Datenschutz im Mittelpunkt steht. Unser Ansatz – Datenspeicherung im Vereinigten Königreich, ISO 27001-Zertifizierung, keine Audioaufzeichnung von Anrufen und Call-Handler, die alle ehemalige britische Polizeibeamte mit jeweils mehr als 25 Jahren Erfahrung in der Befragung sind – ist darauf ausgelegt, Datenschutzrisiken zu minimieren und gleichzeitig die Qualität und Zuverlässigkeit des Meldeprozesses zu maximieren. Mit einer Verfügbarkeit rund um die Uhr in 175 Sprachen und einer Kundenbindungsrate von 95 % bietet Safecall einen Service, den Compliance-Beauftragte ihrem Datenschutzbeauftragten mit gutem Gewissen präsentieren können.
Wenn Sie erfahren möchten, wie Safecall die datenschutzrechtlichen Auswirkungen von Whistleblowing in Ihrem Unternehmen berücksichtigt, wenden Sie sich bitte an unser Team oder rufen Sie uns an unter +44 (0) 191 516 7720.
Quellen und weiterführende Literatur
- Datenschutz-Grundverordnung (DSGVO) der EU, Artikel 5, 6, 9, 14, 28, 33, 34, 35 – gdpr-info.eu
- Europäischer Datenschutzbeauftragter (EDSB), Leitlinien zur Verarbeitung personenbezogener Daten im Rahmen eines Whistleblowing-Verfahrens (2019) – edps.europa.eu
- Morgan Lewis, Auswirkungen von Whistleblowing-Verfahren auf den Datenschutz in der EU und im Vereinigten Königreich (2024) – lexology.com
- Britisches Amt des Informationsbeauftragten (ICO), Leitfaden zu den Rechtsgrundlagen – ico.org.uk
- Britisches Datenschutzgesetz von 2018, Anhang 1 – legislation.gov.uk
- EU-Richtlinie 2019/1937 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden – eur-lex.europa.eu