Wie sind die in Meldungen erhaltenen personenbezogenen Daten zu sichern?

Aktualisiert am 12. Januar 2024

Jedes Hinweisgebersystem bringt die Sammlung und Verarbeitung personenbezogener Daten mit sich. Deshalb muss das Unternehmen, welches ein Hinweisgebersystem einrichtet, geeignete Maßnahmen vorsehen, um diese Daten zu sichern und  den Zugang zu diesen Daten durch unbefugte Personen bzw. zweckwidrige Nutzungen zu verhindern.

Das Unternehmen muss somit auf Folgendes achten:

• das System darf ausschließlich der Entgegennahme und Bearbeitung von Meldungen dienen
• der Zugang zu den eingegangenen Meldungen muss auf die Personen beschränkt sein, die diese entgegennehmen und bearbeiten und muss ferner durch einen Benutzernamen und ein Passwort geschützt werden
• die Personen, welche die Meldungen entgegennehmen und bearbeiten, sind zur Vertraulichkeit verpflichtet
• jeder Zugang zum System muss gespeichert und kontrolliert werden. Ferner müssen die Zugangsberechtigungen regelmäßig überprüft werden

Die Durchführungsverordnung legt außerdem fest, dass Aufzeichnungen, Abschriften und Protokolle nur so lange aufbewahrt werden dürfen, wie es für die Bearbeitung der Meldungen und den Schutz der hinweisgebenden Personen, der Personen, auf die sie sich beziehen, und der Dritten, die sie erwähnen, unbedingt erforderlich ist und in einem angemessenen Verhältnis dazu steht. Diese Bestimmung stellt einen Hinweis auf die DSGVO dar. So muss das Unternehmen sicherstellen, dass die im Rahmen des Hinweisgebersystems gesammelten Daten unter Einhaltung der geltenden Vorschriften aufbewahrt werden, die besagen, dass:

• wenn die Meldung nicht in den Anwendungsbereich des Hinweisgebersystems fällt, müssen die entsprechenden Daten gelöscht oder nach Anonymisierung archiviert werden
• wenn nach Abschluss der Untersuchung der Meldung entschieden wird, der Meldung nicht weiter nachzugehen, müssen die entsprechenden Daten innerhalb von zwei Monaten nach Abschluss der Prüfung gelöscht oder nach Anonymisierung archiviert werden
• wenn ein Disziplinarverfahren oder ein Gerichtsverfahren gegen die durch die Meldung belastete Person eingeleitet wird bzw. gegen die hinweisgebende Person, die einen missbräuchliche Meldung abgegeben hat, werden die Daten bis zum Ende des Verfahrens gespeichert.

Zu beachten ist hierbei, dass die zu archivierenden Daten im Rahmen eines getrennten Informationssystems mit beschränktem Zugang aufbewahrt werden und die Dauer der Speicherung die Dauer eines Gerichtsverfahrens nicht überschreiten darf.