Betroffenenrechte
Es existieren aber noch weitere Schwierigkeiten im Wechselspiel zwischen dem Datenschutz und dem Betrieb einer Meldestelle.
So könnten betroffene Personen über die Informationspflicht des Art. 14 und das Auskunftsrecht aus Art. 15 DSGVO über sämtliche Umstände, die im Zusammenhang mit der Verarbeitung ihrer Daten stehen, unterrichtet werden und sich fortan unterrichtet halten, was dem Hinweisgeberschutz und der Intention des Gesetzes, Rechtsverstöße aufzudecken, zuwiderliefe.
Denn es besteht eine aktive Unterrichtungspflicht, die eine Höchstfrist von einem Monat ab Erhalt der Meldung aufstellt. Dies läuft wiederum im Interesse eines effektiven Hinweisgebersystems zuwider, wenn die betroffene Person hierdurch vor Abschluss der Ermittlungen informiert werden muss. In diesem Falle besteht über Art. 14 Abs. 5 lit. b) DSGVO die Möglichkeit einer Aufschiebung, solange eine Verdunkelungsgefahr besteht und die Beweise nicht abschließend gesichert sind.
Ferner besteht die Möglichkeit, nach Art. 14 Abs. 5 lit. c) DSGVO Rahmen der Unterrichtungspflicht die Identität des Hinweisgebers sowie der oben genannten weiteren Informationen nicht gegenüber der zu unterrichtenden Person offenzulegen und dadurch der unternehmerischen Vertraulichkeitsverpflichtung zu entsprechen. Denn für die beschuldigte Person besteht ebenfalls eine Fürsorgepflicht des Arbeitgebers – und zudem die gesetzliche Unschuldsvermutung.
Alternativ bestünde die Möglichkeit, dass die Identität des Hinweisgebers von vornherein nicht offengelegt werden kann, weil der Hinweisgeber anonym meldet, nachdem er vorab allgemein vom Arbeitgeber darüber unterrichtet und aufgeklärt worden ist, dass eine Unterrichtung auch an die betreffende Person, auf die sich die Beschwerde bezieht, erfolgen muss, und ihm alternativ die Option der anonymen Meldung vorgestellt wird.
Neben der Unterrichtungspflicht ist – wie vorausgeschickt – das Auskunftsrecht aus Art. 15 DSGVO zu beachten. Dieser Anspruch besteht auch gegenüber dem Arbeitgeber und beinhaltet das Recht auf Herausgabe von Kopien, einschließlich aller Informationen über die Herkunft der Daten. Die nach der EU-Richtlinie zu garantierende Vertraulichkeit des Meldeprozesses würde demnach durch die uneingeschränkte Ausübung des Auskunftsrechts vereitelt werden können.
Nach einem Urteil des Landesarbeitsgerichts Baden-Württemberg aus 12/2018 besteht ein solcher arbeitnehmerseitiger Anspruch auf Einsicht in die Akten des Meldefalles. Stehen diesem Einsichtsanspruch gesetzliche Geheimhaltungspflichten entgegen, so kann sich der Arbeitgeber hierauf berufen. Im Falle nur vertraglich vereinbarter Vertraulichkeit und Geheimhaltung bedarf es jeweils eines einzelfallbezogenen, umfassenden Abwägungsprozesses zwischen dem Geheimhaltungsinteresse des Hinweisgebers einerseits und dem Auskunftsinteresse des Betroffenen andererseits, deren Ergebnis dem Anspruchsberechtigten sodann in substanzieller Art und Weise darzulegen ist. Folgt man der – umstrittenen – Rechtsprechung des Bundesarbeitsgerichts, so besteht ohnehin kein unbeschränkter Anspruch auf Herausgabe von Kopien, vielmehr müssen die betreffenden Kopien (bspw. von E-Mails) durch ihre hinreichend konkrete Bezeichnung bestimmbar werden. Dies eröffnet den Meldestellen künftig die Möglichkeit, den Anspruch auf Herausgabe von Kopien zurückzuweisen, wenn die den Auskunftsanspruch geltend machende Personen ihren Anspruch nicht inhaltlich eingrenzen und konkretisieren kann.
Im 4. und letzten Teil unserer Reihe behandeln wir das Thema DSGVO-Löschpflicht gegen Dokumentationspflicht nach Hinweisgebergesetz und Datenschutz-Folgenabschätzung.