Die Datenschutz-Grundverordnung (DSGVO) und die britische DSGVO sehen strenge Auflagen hinsichtlich der Erhebung, Speicherung, Abfrage und schließlich Löschung dieser Daten vor.
Wenn ein Mitarbeiter einen Verdacht auf Betrug, Belästigung oder Verstöße gegen gesetzliche Vorschriften meldet, gehören die dabei betroffenen personenbezogenen Daten zu den sensibelsten, die ein Unternehmen verarbeitet. Namen, Vorwürfe, Angaben zu Zeugen und manchmal auch gesundheitliche oder finanzielle Informationen werden über den Whistleblowing-Kanal weitergeleitet, weshalb die ordnungsgemäße Einhaltung der DSGVO von entscheidender Bedeutung ist.
Ein gut konzipiertes digitales Whistleblowing-System bietet nicht nur einen Mechanismus zur Meldung von Missständen – es integriert die Einhaltung der DSGVO bereits in die Architektur des Prozesses selbst. Für Compliance-Beauftragte, die die Meldekanäle ihrer Organisation bewerten oder optimieren, ist es für den Aufbau eines rechtlich tragfähigen Programms unerlässlich zu verstehen, wie diese Systeme spezifische Anforderungen der DSGVO erfüllen.
Datenschutz durch Technikgestaltung und von Haus aus
Artikel 25 der DSGVO verpflichtet Organisationen dazu, Datenschutzmaßnahmen bereits zu Beginn jeder Verarbeitungsaktivität umzusetzen und nicht erst nachträglich. Digitale Whistleblowing-Systeme unterstützen diesen Grundsatz auf verschiedene praktische Weisen.
Die Verschlüsselung ist das A und O. Speziell entwickelte Plattformen verschlüsseln die Meldedaten sowohl während der Übertragung (auf dem Weg vom Meldenden zum System) als auch im Ruhezustand (während der Speicherung auf Servern). Das bedeutet, dass selbst im Falle einer Datenpanne die personenbezogenen Daten in den Whistleblowing-Meldungen für Unbefugte unlesbar bleiben. Die Geldbuße in Höhe von 40.000 Euro, die die italienische Datenschutzbehörde gegen den Flughafen Bologna wegen des Betriebs eines Whistleblowing-Systems ohne Verschlüsselung verhängt hat, verdeutlicht die rechtlichen Konsequenzen, die die Vernachlässigung dieser Sicherheitsmaßnahme nach sich zieht.
Ebenso wichtig sind rollenbasierte Zugriffskontrollen. Ein konformes System beschränkt den Zugriff auf Berichtsinhalte auf speziell autorisiertes Personal – in der Regel den benannten Compliance-Beauftragten, Mitglieder des Untersuchungsteams und, falls erforderlich, Rechtsberater. Detaillierte Prüfpfade protokollieren jeden Zugriffsvorgang und erstellen so eine Nachweisaufzeichnung, die die Einhaltung der Transparenz- und Sicherheitsanforderungen der DSGVO belegt.
Datenminimierung und Zweckbindung
Artikel 5 der DSGVO schreibt vor, dass personenbezogene Daten angemessen, relevant und auf das Notwendige beschränkt sein müssen. Im Zusammenhang mit Whistleblowing bedeutet dies, dass Systeme die Meldenden dazu anleiten sollten, Informationen bereitzustellen, die in direktem Zusammenhang mit dem vorgebrachten Anliegen stehen, ohne dabei die Erfassung irrelevanter personenbezogener Daten zu fördern.
Digitale Plattformen erreichen dies durch strukturierte Meldeformulare, die zur Angabe bestimmter Informationen auffordern: Art des Vorfalls, Zeitpunkt und Ort des Vorfalls, betroffene Personen und vorhandene Beweise. Dieser strukturierte Ansatz verringert das Risiko, dass Meldende irrelevante personenbezogene Daten angeben – wie beispielsweise nicht zum Vorfall gehörende Gesundheitsdaten von Kollegen –, die die Organisation dann gemäß den Grundsätzen der DSGVO verarbeiten müsste.
Die Zweckbindung wird durch eine Systemarchitektur gewährleistet, die Whistleblowing-Daten von anderen Personal- oder Mitarbeiterdaten trennt. Wenn Daten in einer eigens dafür vorgesehenen, abgeschotteten Umgebung gespeichert werden, ist es wesentlich schwieriger, sie für andere Zwecke zu nutzen, beispielsweise für das Leistungsmanagement oder Disziplinarverfahren, die in keinem Zusammenhang mit der ursprünglichen Meldung stehen.
Schutz der Anonymität und Vertraulichkeit von Hinweisgebern
Die EU-Whistleblowing-Richtlinie (2019/1937) schreibt vor, dass Meldekanäle die Identität des Hinweisgebers vertraulich behandeln müssen. Die DSGVO bekräftigt dies, indem sie angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten vorschreibt.
Digitale Systeme gewährleisten die Vertraulichkeit durch Funktionen wie anonyme Meld portale, verschlüsselte bidirektionale Kommunikationskanäle, die einen weiteren Dialog ermöglichen, ohne die Identität des Meldenden preiszugeben, sowie das Entfernen von Metadaten, wodurch identifizierende Informationen aus hochgeladenen Dokumenten entfernt werden. Einige Anbieter gehen noch einen Schritt weiter: Safecall beispielsweise verzichtet bewusst auf Audioaufzeichnungen von telefonischen Meldungen – eine bewusste Entscheidung, die das Risiko einer Stimmidentifizierung ausschließt und sicherstellt, dass während des Meldeprozesses keine biometrischen Daten entstehen.
Dies ist von Bedeutung, da Sprachaufzeichnungen personenbezogene Daten darstellen würden (und unter bestimmten Verarbeitungsbedingungen möglicherweise auch biometrische Daten), was zusätzliche Verpflichtungen gemäß der DSGVO hinsichtlich Speicherung, Zugriff und Löschung mit sich bringen würde. Indem der Inhalt eines Gesprächs durch geschulte Mitarbeiter statt durch Aufzeichnungen erfasst wird, lässt sich der Datenumfang erheblich reduzieren, während die Qualität der gesammelten Informationen gewahrt bleibt.
Automatisierte Kontrollen zur Aufbewahrung und Löschung
Der Grundsatz der Speicherbegrenzung gemäß der DSGVO schreibt vor, dass personenbezogene Daten nicht länger als nötig aufbewahrt werden dürfen. Für Whistleblowing-Daten bedeutet dies, dass Organisationen differenzierte Aufbewahrungsfristen festlegen müssen – Meldungen, die ohne Untersuchung geprüft und abgeschlossen werden, sollten früher gelöscht werden als solche, die zu formellen Verfahren führen.
Digitale Fallmanagement-Plattformen können diesen Prozess automatisieren. Es lassen sich konfigurierbare Aufbewahrungsrichtlinien festlegen, um Daten nach festgelegten Zeiträumen zu kennzeichnen oder automatisch zu löschen, wobei für unbegründete Meldungen, abgeschlossene Untersuchungen und an Aufsichtsbehörden oder Strafverfolgungsbehörden weitergeleitete Fälle unterschiedliche Zeitpläne gelten. Dadurch entfällt die Abhängigkeit von manuellen Überprüfungszyklen, bei denen es leicht zu Versäumnissen kommen kann, und es entsteht ein nachprüfbarer Nachweis über die Einhaltung der Aufbewahrungspflichten.
Der Europäische Datenschutzbeauftragte (EDPS) hat ausdrücklich empfohlen, dass Meldungen, die nicht zu einer Untersuchung führen, für einen kürzeren Zeitraum aufbewahrt werden sollten als solche, bei denen Untersuchungen eingeleitet werden – ein Grundsatz, den automatisierte Systeme im gesamten Whistleblowing-Programm einer Organisation einheitlich durchsetzen können.
Unterstützung bei der grenzüberschreitenden Einhaltung von Vorschriften
Bei multinationalen Unternehmen kann es erforderlich sein, dass Whistleblowing-Daten zwischen verschiedenen Rechtsräumen übertragen werden. Kapitel V der DSGVO schränkt die Übermittlung personenbezogener Daten außerhalb des EWR ein, sofern keine angemessenen Schutzmaßnahmen getroffen wurden. Digitale Systeme können die Einhaltung der Vorschriften unterstützen, indem sie Daten innerhalb bestimmter Rechtsräume hosten – beispielsweise im Vereinigten Königreich für dort ansässige Unternehmen – und durch konfigurierbare Datenweiterleitung dafür sorgen, dass Meldungen von EU-Mitarbeitern innerhalb des EWR verarbeitet und gespeichert werden.
Die Infrastruktur von Safecall ist genau darauf ausgelegt. Dank der Speicherung der Daten in Großbritannien und der Möglichkeit, in über 150 Ländern in 175 Sprachen tätig zu sein, können Unternehmen einen einheitlichen Whistleblowing-Dienst nutzen und gleichzeitig die Anforderungen an die Datenhoheit jeder Rechtsordnung einhalten, in der sie tätig sind.
Erleichterung von Datenschutz-Folgenabschätzungen
Da die Bearbeitung von Hinweismeldungen allgemein als risikoreich gilt, ist gemäß Artikel 35 der DSGVO fast immer eine Datenschutz-Folgenabschätzung (DPIA) erforderlich. Ein gut dokumentiertes digitales System vereinfacht diesen Prozess erheblich. Technische Spezifikationen, Verschlüsselungsstandards, Konfigurationen der Zugriffskontrolle und Datenflussdiagramme – die alle direkt in eine DPIA einfließen – werden in der Regel vom Plattformanbieter bereitgestellt.
Bei der Bewertung von Anbietern sollten Compliance-Beauftragte Unterlagen anfordern, in denen die Funktionen des Systems den spezifischen Anforderungen der DSGVO gegenübergestellt werden. Dies beschleunigt nicht nur den Prozess der Datenschutz-Folgenabschätzung (DPIA), sondern zeigt auch dem Datenschutzbeauftragten und der Unternehmensleitung, dass die Organisation einen Anbieter ausgewählt hat, bei dem die Einhaltung der DSGVO bereits fest im Servicekonzept verankert ist.
Weiterführende Ressourcen
- Whistleblowing, Datenschutz und DSGVO – Überblick über alle datenschutzrechtlichen Aspekte von Whistleblowing-Programmen.
- Welche datenschutzrechtlichen Auswirkungen hat Whistleblowing-Software? – Risiken und Compliance-Aspekte bei der Einführung digitaler Meldesysteme.
- Wie lauten die Richtlinien zur Datenaufbewahrung für Whistleblowing-Systeme? – Ausführliche Leitlinien zu Aufbewahrungsfristen und Speicherbeschränkungen.
- Welche Risiken birgt die interne Verwaltung von Whistleblowing-Systemen? – Warum Outsourcing sowohl den Datenschutz als auch das Vertrauen der Hinweisgeber stärken kann.
Wie Safecall helfen kann
Der Whistleblowing-Dienst von Safecall ist seit über 25 Jahren auf den Datenschutz ausgerichtet. Die Plattform ist nach ISO 27001 zertifiziert, DSGVO-konform und wird auf Servern mit Standort im Vereinigten Königreich gehostet. Sie verbindet sichere digitale Meldemöglichkeiten mit der Fachkompetenz der Call-Handler, bei denen es sich ausschließlich um ehemalige britische Polizeibeamte mit jeweils mehr als 25 Jahren Erfahrung in der Befragung handelt. Mit einer Kundenbindungsrate von 95 % und einer Verfügbarkeit rund um die Uhr in über 175 Sprachen bietet Safecall einen DSGVO-konformen Whistleblowing-Dienst, den Compliance-Beauftragte vertrauensvoll einsetzen können.
Wenn Sie erfahren möchten, wie Safecall Ihr Unternehmen unterstützen kann, wenden Sie sich an unser Team oder rufen Sie uns an unter +44 (0) 191 516 7720.
Quellen und weiterführende Literatur
- EU-Datenschutz-Grundverordnung (DSGVO), Artikel 5, 6, 25, 35, Kapitel V – gdpr-info.eu
- EU-Richtlinie 2019/1937 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden – eur-lex.europa.eu
- Europäischer Datenschutzbeauftragter (EDSB), Leitlinien zur Verarbeitung personenbezogener Daten im Rahmen eines Whistleblowing-Verfahrens (2019) – edps.europa.eu
- Britische Datenschutzbehörde (ICO), Datenschutz-Folgenabschätzungen – ico.org.uk
- Morgan Lewis, Auswirkungen von Whistleblowing-Verfahren auf den Datenschutz in der EU und im Vereinigten Königreich (2024) – lexology.com
- ICO, Leitfaden zu den Rechtsgrundlagen – ico.org.uk