CREDERA

Richtlinie Hinweisgeberschutzgesetz

1. Einleitung

1.1. Zweck der Richtlinie

Die Einhaltung von Gesetzen ist die Grundlage all unserer Aktivitäten und wir verstehen ehrliches, ethisches und regelkonformes Verhalten als Basis unseres Unternehmenserfolges. Wir haben dafür bestimmte interne Richtlinien aufgestellt, in denen wir Verhaltensregeln für bestimmte Bereiche konkretisieren (z.B. unsere Menschenrechtserklärung, das Energie- und Umweltmanagementsystem, den Code of Conduct sowie die Richtlinie Datenschutz). Wir erwarten von allen Mitarbeitenden, dass sie sich nicht nur an unsere hohen Standards halten, sondern sich ihnen auch verpflichten. Es besteht dennoch für jede Organisationen das Risiko, dass von Zeit zu Zeit etwas schiefläuft oder dass sich Mitarbeitende unwissentlich oder wissentlich unethisch oder illegal verhalten. Eine Kultur der Offenheit und der Verantwortlichkeit ist unerlässlich, um solche Situationen zu verhindern bzw. zu bewältigen, wenn sie doch eintreten sollten. Damit wir diesem Anspruch gerecht werden können, ist es wichtig, von potenziellem Fehlverhalten zu erfahren und dieses abzustellen. Es ist uns dementsprechend sehr wichtig, Hinweise zu potenziellem Fehlverhalten zu erhalten und dazu zu ermutigen, potenzielles Fehlverhalten zu melden, ohne Sanktionen bzw. Diskriminierung befürchten zu müssen.

1.2. Inhalte der Richtlinie

Diese Richtlinie beantwortet folgende Fragen:

Wie kann potenzielles Fehlverhalten gemeldet werden?
Wird die Vertraulichkeit der Identität der Hinweisgebenden gewährleistet?
Wer kann potenzielles Fehlverhalten melden?
Was kann gemeldet werden?
Was passiert nach einer Meldung bzw. wie werden Meldungen bearbeitet?
Wie werden Hinweisgebende geschützt?
Wie sieht es mit dem Datenschutz aus?

1.3. Für wen gilt diese Richtlinie?

Diese Richtlinie gilt für alle Mitarbeitende, Auszubildende, Praktikantinnen und Praktikanten, Organmitglieder, Führungskräfte, freie Mitarbeitende und sonstige Beschäftigte (nachfolgend einheitlich als „Mitarbeitende“ bezeichnet). Zusätzlich gilt die Richtlinie entsprechend auch für alle sonstigen Meldeberechtigten, wie Bewerbende, ehemalige Mitarbeitende, sämtliche Geschäftspartner wie Lieferanten, Dienstleister und Kunden, Anteilseigner, Handelsvertreter, Mittler und alle sonstigen relevanten Stakeholder, die Kenntnis von einem Fehlverhalten im Unternehmen haben.

1.4. Vorrang zwingenden lokalen Rechts

Zwingendes lokales Recht bleibt von dieser Richtlinie selbstverständlich unberührt. Sofern diese Richtlinie im Widerspruch steht zu zwingendem lokalem Recht hat zwingendes lokales Recht Vorrang.

2. Wie kann potenzielles Fehlverhalten gemeldet werden?

Interne Hinweise: Potenzielles Fehlverhalten kann zum einen unternehmensintern gemeldet werden. Es können auch lediglich Fragen gestellt oder Bedenken mitgeteilt werden hinsichtlich der Rechtskonformität bzw. der ethischen Vereinbarkeit bestimmter Unternehmensaktivitäten.

Externe Hinweise: Hinweise zu potenziellem Fehlverhalten können aber auch extern an die zuständigen Behörden gegeben werden.

Wir begrüßen es, wenn Hinweisgebende zuerst einen internen Hinweis geben, um uns die Möglichkeit zu geben, potenzielles Fehlverhalten intern zu untersuchen und abzustellen, Hinweisgebende sind jedoch nicht verpflichtet, zuerst intern zu melden, bevor sie sich mit einem externen Hinweis an die zuständigen Behörden wenden.

2.1. Unternehmensinterne Hinweise

2.1.1. Vorgesetzte/Personalabteilung

Potenzielles Fehlverhalten kann den zuständigen Vorgesetzten oder der Personalabteilung gemeldet werden. Hinweisgebende können sich persönlich an die jeweiligen Ansprechpartner wenden oder die Angelegenheit schriftlich niederlegen. Möglicherweise kann so schnell und effektiv eine Lösung gefunden werden.

2.1.2. Hinweisgebersystem CONFDNT

Hinweisgebende können potenzielles Fehlverhalten auch über unser Hinweisgebersystem melden. Hinweise können dabei wie folgt gegeben werden: Online über unsere Webseite und telefonisch über unsere Hotline:

Credera Deutschland GmbH (Smart Digital Gruppe):

https://smartdigital.confdnt.com

Tel. DE: +49 8941207049

Tel. EN: +49 89143777440

Die Webseite für Hinweise und die Hotline für Hinweise werden vom Anbieter CONFDNT zur Verfügung gestellt.

Bei einem Hinweis über die Webseite für Hinweise kann aus folgenden Optionen ausgewählt werden:

Anonym

Es werden keinerlei Daten zur Identität der Hinweisgebenden erfasst, der Status der Bearbeitung des Hinweises kann aber dennoch über einen QR-Code bzw. einen Link jederzeit anonym nachverfolgt werden. Auf diesem Wege können anonym auch weitere ergänzende Hinweise zum Sachverhalt gegeben werden.

Vertraulich

Hinweisgebende können Kontaktdaten angeben, z.B. ihre E-Mail-Adresse, und werden dann über den Status der Bearbeitung ihres Hinweises auf dem Laufenden gehalten und Hinweisbearbeitende im Unternehmen können Rückfragen zum Sachverhalt stellen, wodurch die Aufklärung des Sachverhalts vereinfacht und beschleunigt werden kann. Bei einem vertraulichen Hinweis werden die Kontaktdaten und die Informationen zur Identität der Hinweisgebenden ausschließlich vom Anbieter des Hinweisgebersystems CONFDNT verarbeitet und nicht an die Hinweisbearbeitenden im Unternehmen weitergeleitet. Dies ist vertraglich mit CONFDNT eindeutig so vereinbart und CONFDNT darf diese Informationen nicht an das Unternehmen weiterleiten. CONFDNT steht dabei als Anonymisierungsebene zwischen den Hinweisgebenden und den Hinweisbearbeitenden im Unternehmen.

Transparent

Bei einem transparenten Hinweis werden die Kontaktdaten bzw. Informationen zur Identität der Hinweisgebenden vom Anbieter des Hinweisgebersystems CONFDNT an die Hinweis¬bearbeitenden im Unternehmen weitergegeben und es kann eine direkte Kommunikation zwischen den Hinweisgebenden und den Hinweisbearbeitenden im Unternehmen erfolgen.

2.2. Externe Hinweise an die zuständigen Behörden

Hinweisgebende können sich bei potenziellem Fehlverhalten auch stets an die zuständigen Behörden wenden.

2.3. Anonyme- oder vertrauliche Hinweise

Das Unternehmen wird auch anonymen Hinweisen nachgehen. Eine ordnungsgemäße Untersuchung könnte in diesen Fällen jedoch schwieriger oder unmöglich sein, wenn keine weiteren ergänzenden Informationen zum jeweiligen Sachverhalt von den Hinweisgebenden eingeholt werden können. Mit dem Hinweisgebersystem CONFDNT steht die Möglichkeit zur Verfügung, vertrauliche Hinweise zu geben, ohne dass gegenüber den Hinweisbearbeitenden im Unternehmen die Identität der Hinweisgebenden aufgedeckt wird, da die Identität der Hinweisgebenden bei einem vertraulichen Hinweis lediglich dem Anbieter des Hinweisgebersystems CONFDNT bekannt ist und CONFDNT die Identität der Hinweisgebenden dem Unternehmen gegenüber nicht aufdecken wird und nicht aufdecken darf. Ein vertraulicher Hinweis kombiniert somit die Vorteile der Anonymität mit der Möglichkeit der Kommunikation zwischen den Hinweisgebenden und dem Unternehmen.

2.4. Telefonische Hinweise und persönliches Treffen

Telefonische Hinweise bzw. Hinweise, die im Rahmen eines persönlichen Gesprächs gegeben werden, werden mit Zustimmung der Hinweisgebenden aufgezeichnet oder das Gespräch wird protokolliert. Den Hinweisgebenden wird das Gesprächsprotokoll im Anschluss zur Überprüfung und Korrektur zur Verfügung gestellt und sie können das Protokoll durch Unterschrift bestätigen.

3. Wer kann potenzielles Fehlverhalten melden?

Meldeberechtigt sind alle aktuellen und ehemaligen Mitarbeitenden unseres Unternehmens, alle Bewerbende, Geschäftspartner wie Lieferanten, Dienstleister und Kunden, Anteilseigner, Handelsvertreter, Mittler und alle sonstigen relevanten Stakeholder, die Kenntnis von einem Fehlverhalten im Unternehmen haben.

4. Was kann und soll gemeldet werden?

4.1. Sämtliche potenziellen Missstände

Es können und sollen sämtliche Missstände im Unternehmen, jegliches Fehlverhalten von Mitarbeitenden, alle potenziellen Verstöße gegen geltendes Recht und/oder Richtlinien des Unternehmens etc. einschließlich auch des jeweiligen Verdachts gemeldet werden. Dies umfasst insbesondere folgende Bereiche, ist aber keinesfalls darauf beschränkt:

Betrug und Fehlverhalten in Bezug auf die Rechnungslegung bzw. interne Rechnungslegungskontrollen
Korruption, Bestechung und Bestechlichkeit
Banken- und Finanzkriminalität
Wirtschaftsprüfungsdelikte
Geldwäsche, Finanzierung terroristischer Aktivitäten,
Verbotene Insidergeschäfte
Verstöße gegen das Kartellrecht
Verstöße gegen das Wettbewerbsrecht
Verstöße gegen das Datenschutzrecht
Geheimnisverrat, Verstöße gegen Vertraulichkeitsverpflichtungen
Fälschung von Verträgen, Berichten oder Aufzeichnungen
Missbrauch von Unternehmensgütern, Diebstahl oder Veruntreuung
Verstöße gegen Menschenrechte
Diskriminierung unserer Mitarbeitenden
Gefahren für die Gesundheit bzw. Sicherheit unserer Mitarbeitenden
Verstöße gegen Rechte von Mitarbeitenden oder Vertretungsorganen
Umweltgefährdungen

Es können und sollen Verstöße bzw. der Verdacht von Verstößen jeglicher Mitarbeitenden, einschließlich der Organe und Führungskräfte des Unternehmens gemeldet werden. Gleiches gilt auch, wenn Dritte Handlungen vornehmen, die sich gegen unser Unternehmen richten (beispielsweise Bestechungsversuche durch Dienstleister und Lieferanten).

4.2. Begründeter Verdacht

Es sollen sämtliche Fälle gemeldet werden, bei denen ein begründeter Verdacht vorliegt, dass ein nach dieser Richtlinie relevanter Vorfall vorliegt. Nicht in allen Fällen wird für die Hinweisgebenden klar erkennbar sein, ob eine bestimmte Handlung oder ein bestimmtes Verhalten einen Missstand bzw. einen Verstoß gegen Gesetze und/oder Firmenrichtlinien darstellt. Die Hinweisgebenden sollten dies vor dem Hinweis sorgfältig prüfen. Es ist jedoch eindeutig im Interesse des Unternehmens, wenn ein Verdachtsfall gemeldet wird, auch wenn sich Hinweisgebende nicht zu 100% sicher sind, dass es sich tatsächlich um einen Missstand handelt, bei dem das Unternehmen eingreifen muss. Im Zweifelsfall können die potenziellen Hinweisgebenden den Fall bzw. den Verdacht auch ohne Nennung von Namen abstrakt mit einer Person ihres Vertrauens, z.B. aus dem Kreis der Vorgesetzen, Personalabteilung oder des Betriebsrats -sofern vorhanden- besprechen und abstimmen, ob es sich um einen relevanten Fall handelt, der zu melden ist.

4.3. Konkretisierung und Plausibilität/Nachvollziehbarkeit

Jeder Hinweis sollte so konkret wie möglich erfolgen. Die Hinweisgebenden sollten möglichst detaillierte Informationen über den zu meldenden Sachverhalt vorlegen, so dass die Meldestellenbeauftragten die Angelegenheit richtig einschätzen können. In diesem Zusammenhang sollten die Hintergründe, der Tathergang und der Grund der Meldung sowie Namen, Daten, Orte und sonstige Informationen benannt werden. Sofern vorhanden, sollten Dokumente vorgelegt werden. Persönliche Erfahrungen, mögliche Vorurteile oder subjektive Auffassungen sollten als solche kenntlich gemacht werden. Die Hinweisgebenden sind grundsätzlich nicht zu eigenen Ermittlungen verpflichtet; eine Ausnahme kann gelten, wenn sie dazu arbeitsvertraglich verpflichtet sind.

4.4. Gutgläubigkeit bzw. Missbrauch des Hinweisgebersystems

Ein Hinweis sollte in gutem Glauben erfolgen. Ergibt die Überprüfung des Hinweises, dass beispielsweise kein begründeter Verdacht besteht oder die Fakten nicht ausreichen, um einen Verdacht zu erhärten, haben Hinweisgebende, die einen Hinweis gutgläubig melden, keine disziplinarischen Maßnahmen zu befürchten. Anderes gilt für Hinweisgebende, die das Hinweisgebersystem bewusst für falsche Meldungen missbrauchen; diese müssen mit disziplinarischen Maßnahmen rechnen. Auch eine Beeinträchtigung des Hinweisgebersystems durch bspw. Manipulation, Vertuschung oder der Bruch von Geheimhaltungs- oder Vertraulichkeitspflichten können disziplinarische Maßnahmen und ggfls. zivilrechtliche oder strafrechtliche Folgen nach sich ziehen.

4.5. Hinweispflicht

Soweit Mitarbeitende Anlass zu der Annahme haben, dass ein Sachverhalt, der im Zusammenhang mit dem Unternehmen steht, eine Straftat darstellt oder geeignet ist, zu schweren Schäden für das Unternehmen oder für Dritte zu führen, besteht eine Hinweispflicht. Diese Hinweispflicht entfällt, sofern der Sachverhalt dem Unternehmen bereits erkennbar bekannt ist oder sofern nach der Strafprozessordnung keine Zeugnispflicht bestünde, z.B. bei Ehepartnern oder Verwandten gem. § 52 StPO.

5. Was passiert nach einer Meldung bzw. wie werden Meldungen bearbeitet?

5.1. Eingangsbestätigung

Hinweisgebende erhalten innerhalb von sieben Tagen nach Eingang ihres Hinweises eine Eingangsbestätigung, sofern der Hinweis nicht anonym abgegeben wurde. Bei der Nutzung unseres Hinweisgebersystems CONFDNT kann auch bei einer anonymen Meldung die Eingangsbestätigung über den QR-Code bzw. Link zum jeweiligen Hinweis die Eingangsbestätigung und der Status der Bearbeitung abgerufen werden.

5.2. Bearbeitung des Hinweises

Jeder Hinweis wird vertraulich und unter Berücksichtigung der geltenden Datenschutzgesetze behandelt. Für die Bearbeitung der Hinweise sind im Unternehmen weisungsungebundene unparteiische Meldestellenbeauftragte benannt. Nach dem Eingang eines Hinweises bestätigen die Meldestellenbeauftragten den Eingang der Meldung spätestens nach 7 Tagen. Durch die Meldestellenbeauftragten erfolgt eine erste Prüfung der Plausibilität und Relevanz des Hinweises. Sind die Meldestellenbeauftragte der Auffassung, dass weitere Ermittlungen erfolgen sollten, dokumentieren sie dies und leiten die Informationen an die im Unternehmen für die weitere Ermittlung zuständigen Stellen weiter. Diese führen im Anschluss die internen Ermittlungen durch. Der Name der Hinweisgebenden wird nur dann kommuniziert und im Unternehmen offengelegt, wenn die Hinweisgebenden dafür ihre ausdrückliche Freigabe erteilt haben. Alle Mitarbeitenden sind verpflichtet, die für die Untersuchung zuständigen Stellen bei ihren Ermittlungen zu unterstützen und nach bestem Gewissen an der Aufklärung des Verdachts mitzuwirken. Sie sind zur Vertraulichkeit verpflichtet. Die ermittelten Informationen werden dokumentiert, wobei nur die erforderlichen Daten erhoben und verarbeitet werden. Die Untersuchung wird zeitlich so schnell wie im angemessenen Rahmen möglich durchgeführt. Die für die internen Ermittlungen zuständige Stelle bzw. zuständigen Stellen halten die Meldestellenbeauftragten über den Fortgang der Ermittlungen auf dem Laufenden. Die Hinweisgebenden werden von den Meldestellenbeauftragten über den Fortgang des Verfahrens informiert und erhalten in angemessenem zeitlichem Rahmen, spätestens innerhalb von drei Monaten nach Eingang des Hinweises, eine Rückmeldung zum Bearbeitungsstand bzw. zu den im Zusammenhang mit dem Hinweis ergriffenen Maßnahmen.

5.3. Abschluss der Ermittlungen und Maßnahmen

Die für die internen Ermittlungen zuständige Stelle bzw. zuständigen Stellen informieren nach Abschluss der Ermittlungen die jeweils entscheidungsbefugten Personen, sofern sich ein Hinweis als zutreffend und relevant herausstellt. Entscheidungsbefugte Personen sind Personen, die im Unternehmen Handlungsmöglichkeiten zur Behebung, Verfolgung, Ahndung etc. von Missständen haben. Im Regelfall wird dies die Geschäftsführung sein. Die entscheidungsbefugten Personen beschließen dann, basierend auf dem ermittelten Sachverhalt, die im Interesse des Unternehmens notwendigen Maßnahmen. Soweit aufgrund der ermittelten Ergebnisse erforderlich, werden im Anschluss auch die zuständigen Behörden eingeschaltet und die entsprechenden Daten an diese übermittelt. Stellt sich ein Hinweis als falsch heraus oder kann nicht ausreichend mit Fakten belegt werden, wird dies entsprechend dokumentiert und das Verfahren unverzüglich eingestellt. Für betroffene Mitarbeitende dürfen keine Konsequenzen entstehen, insbesondere wird der Vorgang nicht in der Personalakte dokumentiert. Das Unternehmen wird sich im Übrigen bemühen, die Ergebnisse und Vorschläge einer jeden Untersuchung so zu nutzen, dass ein Fehlverhalten, soweit dies nach den bestehenden Umständen möglich ist, künftig korrigiert werden kann.

5.4. Beschwerde über die Art und Weise der Bearbeitung des Hinweises

Das Unternehmen legt großen Wert darauf, dass sämtliche Hinweise umfassend bearbeitet und gewürdigt werden und dass sie stets fair und angemessen bearbeitet werden. Wenn Hinweisgebende mit der Art und Weise, wie ein Hinweis bearbeitet wurde, nicht zufrieden sind, können sie sich an einer Person ihres Vertrauens, z.B. aus dem Kreis der Vorgesetzen, Personalabteilung oder des Betriebsrats -sofern vorhanden- oder direkt an die Geschäftsführung wenden.

6. Wie werden Hinweisgebende geschützt?

6.1. Vertraulichkeit und Verschwiegenheit

Der Schutz der Hinweisgebenden wird durch die vertrauliche Behandlung ihrer Identität gewährleistet. Die Vertraulichkeit gilt auch für alle anderen Informationen, aus denen die Identität der Hinweisgebenden direkt oder indirekt abgeleitet werden kann. Grundsätzlich wird der Name der Hinweisgebenden nicht bekannt gegeben; abweichendes kann gelten, wenn die Hinweisgebenden die Offenlegung der Identität gestatten oder eine entsprechende Rechtspflicht besteht. Hinweisgebende sind zu unterrichten, bevor ihre Identität offengelegt wird, es sei denn, diese Unterrichtung würde die entsprechenden Ermittlungen gefährden. Gleiches wie für die Vertraulichkeit hinsichtlich der Hinweisgebenden gilt auch für Personen, die an der Aufklärung eines Verdachts mitgewirkt haben.

6.2. Schutz vor Repressalien

Jede Person, die einen Hinweis in gutem Glauben abgibt oder an der Aufklärung eines entsprechenden Verdachts mitwirkt, muss nicht aufgrund des Hinweises bzw. der Mitwirkung mit benachteiligenden Maßnahmen und Repressalien bzw. die Androhung oder den Versuch von benachteiligenden Maßnahmen und Repressalien rechnen, wobei dies insbesondere folgende benachteiligenden Maßnahmen und Repressalien einschließt:

Suspendierung, Kündigung oder vergleichbare Maßnahmen
Herabstufung oder Versagung einer Beförderung
Aufgabenverlagerung, Änderung des Arbeitsortes, Gehaltsminderung, Änderung der Arbeitszeit
Versagung der Teilnahme an Weiterbildungsmaßnahmen
Negative Leistungsbeurteilung oder Ausstellung eines schlechten Arbeitszeugnisses
Disziplinarmaßnahme, Rüge oder sonstige Sanktion einschließlich finanzieller Sanktionen
Nötigung, Einschüchterung, Mobbing oder Ausgrenzung
Diskriminierung, benachteiligende oder ungleiche Behandlung
Schädigung (einschließlich Rufschädigung), insbesondere in den sozialen Medien, oder Herbeiführung finanzieller Verluste (einschließlich Auftrags- oder Einnahmeverluste)
Vorzeitige Kündigung oder Aufhebung eines Vertrags über Waren oder Dienstleistungen
Entzug einer Lizenz oder einer Genehmigung

Abweichendes kann gelten, wenn die Person in den aufzuklärenden Vorfall verwickelt ist. Sollten Hinweisgebende oder Personen, die an der Aufklärung eines Verdachts mitwirken, der Auffassung sein, dass sie deshalb Repressalien ausgesetzt sind bzw. wurden, haben sie dies ihren jeweiligen Vorgesetzten mitzuteilen, bzw. sofern die Vorgesetzten in die potenzielle Repressalie involviert sind bzw. waren, der Geschäftsleitung. Liegt die Vermutung nahe, dass Hinweisgebende oder an der Aufklärung des Verdachts mitwirkende Personen, Repressalien aufgrund des Hinweises bzw. der Mitwirkung erfahren haben, obliegt es der Person, die die benachteiligende Maßnahme ergriffen hat, zu beweisen, dass diese Maßnahme auf hinreichend gerechtfertigten Gründen basierte und keine Repressalie aufgrund des Hinweises bzw. der Mitwirkung darstellt. Jegliche Benachteiligung, Diskriminierung, Belästigung oder Ähnliches von Hinweisgebenden oder an der Aufklärung mitwirkenden Personen wird seitens des Unternehmens nicht geduldet. Das Unternehmen prüft die Umstände des jeweiligen Falles und kann vorübergehende oder dauerhafte Maßnahmen ergreifen, um die Hinweisgebenden bzw. mitwirkende Personen zu schützen und die Interessen des Unternehmens zu wahren. Alle Mitarbeitende oder Vorgesetzte, die Hinweisgebenden oder Personen, die an der Aufklärung eines entsprechenden Verdachts mitwirken, aufgrund des Hinweises oder der Mitwirkung entlassen, herabstufen, belästigen, diskriminieren oder ähnliches, müssen mit disziplinarischen Maßnahmen rechnen, die im äußersten Fall zur Entlassung führen können. Der Schutz vor Repressalien erstreckt sich auch auf Dritte, die mit Hinweisgebenden in Verbindung stehen und in einem beruflichen Kontext Repressalien erleiden könnten, wie z.B. weiteren Mitarbeitenden oder Familienmitgliedern der Hinweisgebenden, juristische Personen, die im Eigentum der Hinweisgebenden stehen oder für die die Hinweisgebenden arbeiten oder mit denen die Hinweisgebenden in einem beruflichen Kontext anderweitig in Verbindung steht.

7. Wie werden gemeldete Personen geschützt?

7.1. Information der gemeldeten Person

Jede von einem Hinweis betroffene Person wird zu gegebener Zeit und unter Berücksichtigung der datenschutzrechtlichen Vorgaben über die gegen sie gerichteten Verdachtsäußerungen benachrichtigt, sofern diese Benachrichtigung nicht den Fortgang des Verfahrens zur Feststellung des Sachverhalts erheblich erschweren würde. Die Benachrichtigung erfolgt spätestens nach Abschluss der Ermittlungen. Die Benachrichtigung enthält in der Regel folgende Informationen:

die Einzelheiten der eingereichten Meldung
die Zwecke der Verarbeitung
die Rechtsgrundlage für die Verarbeitung sowie die berechtigten Interessen des Unternehmens, die der Verarbeitung zugrunde liegen
die Kategorien der personenbezogenen Daten, die verarbeitet werden
die Abteilungen, die über die Meldung informiert sind sowie die zum Zugriff auf die Daten berechtigten Personen
die Empfänger bzw. Kategorien der Empfänger
die Absicht, die Daten an Empfänger mit Sitz in einem unsicheren Drittland zu übermitteln sowie die Rechtsgrundlage für die Übermittlung
Informationen zur Identität der Hinweisgebenden bzw. der Quellen, soweit diese der Offenlegung ihrer Identität zugestimmt haben oder dies zur Wahrung der Interessen der betroffenen Personen erforderlich ist
die Dauer der Speicherung der Daten bzw. die Kriterien für die Festlegung der Dauer
die Rechte des Betroffenen auf Auskunft, Berichtigung, Sperrung oder Löschung bzw. etwaige Widerspruchsrechte
Beschwerderechte bei der Aufsichtsbehörde

7.2. Recht auf Stellungnahme

Die betroffene Person ist von der für die internen Ermittlungen zuständigen Stelle anzuhören, bevor am Ende des oben erläuterten Verfahrens Schlussfolgerungen unter namentlicher Benennung der Person gezogen werden. Ist eine Anhörung aus objektiven Gründen nicht möglich, fordert die zuständige Stelle die betroffene Person auf, ihre Argumente schriftlich zu formulieren.

7.3. Recht auf Löschung der Daten

Bestätigt sich der in der Meldung geltend gemachte Verdacht nicht, hat die betroffene Person ein Recht auf Löschung ihrer in diesem Zusammenhang von dem Unternehmen gespeicherten Daten.

7.4. Recht auf Beschwerde beim Betriebsrat

Die gemeldete Person kann von ihrem Beschwerderecht nach §§ 84, 85 BetrVG Gebrauch machen und den Betriebsrat hinzuziehen.

8. Datenschutz

8.1. Rechtskonformität und Rechtsgrundlage

Personenbezogene Daten, die von Hinweisgebenden mitgeteilt werden bzw. die im Rahmen der internen Ermittlungen erhoben werden, werden unter Berücksichtigung der datenschutzrechtlichen Vorgaben verarbeitet. Die erhobenen Daten werden ausschließlich für die in dieser Richtlinie beschriebenen Zwecke genutzt. Die Bereitstellung der Daten erfolgt insbesondere um die gesetzlichen Pflichten des Unternehmens bzw. die Compliance im Unternehmen sicherzustellen. Die Verarbeitung der Daten erfolgt auf Grundlage des § 26 Abs. 1 BDSG für die Erfüllung arbeitsvertraglicher Pflichten bzw. auf Grundlage der überwiegenden berechtigten Interessen des Unternehmens gemäß Art. 6 Abs. 1 lit. f) DSGVO. Diese berechtigten Interessen sind die Sicherstellung der Compliance im Unternehmen, insbesondere die Aufdeckung und Aufklärung von Missständen im Unternehmen, unternehmensschädigendem Verhalten, Wirtschaftskriminalität etc. sowie der Schutz der Mitarbeiter, Geschäftspartner, Kunden und sonstiger Stakeholder.

8.2. Information und Auskunft

Den Hinweisgebenden werden bei der Erhebung der Daten die erforderlichen Informationen zur Datenverarbeitung und zum Datenschutz mitgeteilt. Sämtliche Personen, deren Daten im Rahmen des Verfahrens vom Unternehmen verarbeitet werden (z.B. Hinweisgebende, gemeldete Personen oder die bei der Aufklärung mitwirkenden Personen), haben gemäß Art. 15 DSGVO das Recht, vom Unternehmen Auskunft über die vom Unternehmen über sie gespeicherten Daten und weitere Informationen, wie z.B. die Verarbeitungszwecke oder die Empfänger der Daten, zu erhalten.

8.3. Aufbewahrung und Löschung

Hinweise werden nicht länger aufbewahrt, als dies erforderlich und verhältnismäßig ist, um die in dieser Richtlinie festgelegten Anforderungen bzw. rechtliche Aufbewahrungsfristen zu erfüllen.

Die Löschung der erhobenen Daten erfolgt dabei grundsätzlich nach Abschluss der internen Ermittlungen, spätestens drei Jahre nach Abschluss des Verfahrens. Kommt es infolge eines Fehlverhaltens im Sinne dieser Richtlinie oder eines Missbrauchs des Hinweisgebersystems zu einem Straf-, Disziplinar- oder Zivilgerichtsverfahren, kann sich die Speicherdauer jedoch bis zum rechtskräftigen Abschluss des jeweiligen Verfahrens verlängern.

Personenbezogene Daten, die für die Bearbeitung eines spezifischen Hinweises offensichtlich nicht relevant sind, werden nicht erhoben bzw. unverzüglich wieder gelöscht, falls sie unbeabsichtigt erhoben wurden.

8.4. Technische und organisatorische Maßnahmen

Die infolge eines Hinweises erhobenen und verarbeiteten Daten werden getrennt von den sonstigen im Unternehmen verarbeiteten Daten gespeichert. Durch entsprechende Berechtigungssysteme und angemessene technische und organisatorische Maßnahmen ist sichergestellt, dass nur die jeweils zuständigen Personen Zugriff auf diese Daten erlangen.

8.5. Übermittlung in Drittländer

Die Verarbeitung der Daten erfolgt ausschließlich innerhalb der EU bzw. des EWR. Lediglich bei außereuropäischen Sachverhalten kann eine Übermittlung in unsichere Drittländer erforderlich sein. In diesem Falle werden geeignete Garantien gemäß Art. 46 ff. DSGVO vorgesehen.

8.6. Betroffenenrechte

Sämtliche Personen, deren Daten im Rahmen des Verfahrens von dem Unternehmen verarbeitet werden, haben das Recht auf Berichtigung ihrer unrichtigen Daten, das Recht auf deren Vervollständigung, das Recht, die Sperrung ihrer Daten oder deren Löschung zu verlangen, sofern dafür die Voraussetzungen nach Art. 16 ff. DSGVO vorliegen. Ein Löschungsverlangen ist z.B. berechtigt, wenn die Daten unrechtmäßig verarbeitet wurden oder die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr benötigt werden.

8.7. Widerspruchsrechte

Werden Daten auf Grundlage von berechtigten Interessen des Unternehmens verarbeitet, kann die von dieser Verarbeitung betroffene Person jederzeit aus Gründen, die sich aus ihrer besonderen Situation ergeben, gegen die Verarbeitung ihrer Daten bei dem Unternehmen Widerspruch einlegen. Das Unternehmen wird dann entweder überwiegende schutzwürdige Gründe, die die Verarbeitung erlauben, nachweisen oder es verarbeitet die Daten nicht mehr. Für die Zeit dieser Überprüfung erfolgt eine Sperrung der für diese Zwecke benötigten Daten.

8.8. Datenschutzbeauftragter

Personen, die an dem Verfahren beteiligt sind, darunter auch die Hinweisgebenden selbst, können sich jederzeit an den Datenschutzbeauftragten des Unternehmens wenden, um kontrollieren zu lassen, ob die aufgrund der einschlägigen anwendbaren Bestimmungen bestehenden Rechte beachtet wurden.

8.9. Beschwerderecht bei der Datenschutzaufsichtsbehörde

Sofern Betroffene der Ansicht sind, dass das Unternehmen die Daten nicht im Einklang mit dem geltenden Datenschutzrecht verarbeitet, kann Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde eingelegt werden.

9. Konsequenzen bei Verstößen

Ein Verstoß gegen diese Richtlinie kann arbeitsrechtliche Maßnahmen nach sich ziehen, einschließlich einer fristlosen Kündigung des Anstellungsverhältnisses, bzw. bei freien Mitarbeitenden einer fristlosen Beendigung der Zusammenarbeit. Ebenso kommen strafrechtliche Sanktionen und zivilrechtliche Folgen wie Schadenersatz in Betracht.